このページは Cloud Translation API によって翻訳されました。

Apple プラットフォーム向け Firebase App Check

1. はじめに

Firebase App Check は、リクエストが正当なアプリやデバイスから送信されていることを確認することで、請求詐欺やフィッシングなどの不正行為からバックエンドリソースを保護します。Firebase サービスとお客様のバックエンドサービスを連携して、リソースを安全に保ちます。

Firebase App Check の詳細については、Firebase のドキュメントをご覧ください。

App Check は、プラットフォーム固有のサービスを使用して、アプリやデバイスの完全性を検証します。これらのサービスは、証明書プロバイダと呼ばれます。このようなプロバイダの 1 つが Apple の App Attest サービスです。App Check はこのサービスを使用して、Apple アプリとデバイスの真正性を確認できます。

作成するアプリの概要

この Codelab では、既存のサンプルアプリに App Check を追加して適用し、プロジェクトの Realtime Database が不正なアプリやデバイスからアクセスされないように保護します。

学習内容

既存のアプリに Firebase App Check を追加する方法。
さまざまな Firebase App Check 認証プロバイダをインストールする方法。
アプリの App Attest を構成する方法。
アプリ開発中にシミュレータでアプリをテストするためにデバッグ証明書プロバイダを構成する方法。

必要なもの

Xcode 13.3.1 以降
新しいアプリ ID を作成できる Apple Developer アカウント
App Attest をサポートする iOS/iPadOS デバイス（App Attest API の利用可能性を参照）

2. スタータープロジェクトを入手する

Firebase Quickstarts for iOS リポジトリには、さまざまな Firebase プロダクトを紹介するサンプルアプリが含まれています。この Codelab では、ベースとして SwiftUI 用の Firebase Database クイックスタートアプリを使用します。

コマンドラインから、iOS 用 Firebase クイックスタートリポジトリのクローンを作成します。

git clone https://github.com/firebase/quickstart-ios.git
cd quickstart-ios

Xcode で Realtime Database SwiftUI クイックスタートアプリプロジェクトを開きます。

cd database/DatabaseExampleSwiftUI/DatabaseExample
xed .

3. アプリに App Check を追加する

Swift Package Manager がプロジェクトの依存関係を解決するのを待ちます。
DatabaseExample (iOS) アプリのターゲットの [全般] タブを開きます。次に、[Frameworks, Libraries, and Embedded Content] セクションで [+] ボタンをクリックします。
追加する FirebaseAppCheck を選択します。

4. App Check プロバイダファクトリを作成してインストールする

Shared ファイルグループに、AppCheck という新しいグループを追加します。

このグループ内で、別のファイル（MyAppCheckProviderFactory.swift など）にファクトリクラスを作成し、必ず DatabaseExample (iOS) ターゲットに追加します。

import Firebase

class MyAppCheckProviderFactory: NSObject, AppCheckProviderFactory {
  func createProvider(with app: FirebaseApp) -> AppCheckProvider? {
    #if targetEnvironment(simulator)
      // App Attest is not available on simulators.
      // Use a debug provider.
      return AppCheckDebugProvider(app: app)
    #else
      // Use App Attest provider on real devices.
      return AppAttestProvider(app: app)
    #endif
  }
}

次に、DatabaseExampleApp.swift で、必ず FirebaseAppCheck をインポートし、MyAppCheckProviderFactory クラスのインスタンスを App Check プロバイダファクトリとして設定します。

import SwiftUI
import FirebaseCore
import FirebaseAppCheck

@main
struct DatabaseExampleApp: App {
  init() {
    // Set an instance of MyAppCheckProviderFactory as an App Check
    // provider factory before configuring Firebase.
    AppCheck.setAppCheckProviderFactory(MyAppCheckProviderFactory())
    FirebaseApp.configure()
  }
  ...
}

5. Firebase プロジェクトを作成して構成する

iOS プロジェクトで App Check を使用するには、Firebase コンソールで次の手順を行います。

Firebase プロジェクトを設定する。
iOS アプリを Firebase プロジェクトに追加します。
Firebase Authentication を構成します。
保護する Realtime Database インスタンスを初期化します。
App Check を構成します。

プロジェクトを作成する

まず、Firebase プロジェクトを作成する必要があります。

Firebase コンソールで [プロジェクトを追加] を選択します。
プロジェクトに名前を付けます App Check Codelab
[続行] をクリックします。
このプロジェクトの Google アナリティクスを無効にしてから、[プロジェクトを作成] をクリックします。

Realtime Database インスタンスを作成する

Firebase コンソールの [Realtime Database] セクションに移動します。

[データベースを作成] ボタンをクリックして、データベース作成ワークフローを開始します。
データベースのデフォルトのロケーション（us-central1）は変更せずに、[次へ] をクリックします。
[ロックモード] が選択されていることを確認し、[有効にする] ボタンをクリックして、データベースのセキュリティルールを有効にします。

Realtime Database ブラウザの [ルール] タブに移動し、デフォルトのルールを次のルールに置き換えます。

{
    "rules": {
        // User profiles are only readable/writable by the user who owns it
        "users": {
            "$UID": {
                ".read": "auth.uid == $UID",
                ".write": "auth.uid == $UID"
            }
        },
        // Posts can be read by anyone but only written by logged-in users.
        "posts": {
            ".read": true,
            ".write": "auth.uid != null",
            "$POSTID": {
                // UID must match logged in user and is fixed once set
                "uid": {
                    ".validate": "(data.exists() && data.val() == newData.val()) || newData.val() == auth.uid"
                },
                // User can only update own stars
                "stars": {
                    "$UID": {
                        ".validate": "auth.uid == $UID"
                    }
                }
            }
        },
        // User posts can be read by anyone but only written by the user that owns it,
        // and with a matching UID
        "user-posts": {
            ".read": true,
            "$UID": {
                "$POSTID": {
                    ".write": "auth.uid == $UID",
                    ".validate": "data.exists() || newData.child('uid').val() == auth.uid"
                }
            }
        },
        // Comments can be read by anyone but only written by a logged in user
        "post-comments": {
            ".read": true,
            ".write": "auth.uid != null",
            "$POSTID": {
                "$COMMENTID": {
                    // UID must match logged in user and is fixed once set
                    "uid": {
                        ".validate": "(data.exists() && data.val() == newData.val()) || newData.val() == auth.uid"
                    }
                }
            }
        }
    }
}

[公開] ボタンをクリックして、更新されたセキュリティルールを有効にします。

Firebase に接続するよう iOS アプリを準備する

実機でサンプルアプリを実行するには、プロジェクトを開発チームに追加して、Xcode が必要なプロビジョニングプロファイルを管理できるようにする必要があります。サンプルアプリをデベロッパーアカウントに追加する手順は次のとおりです。

Xcode で、プロジェクトナビゲータの DatabaseExample プロジェクトを選択します。
DatabaseExample (iOS) ターゲットを選択し、[Signing & Capabilities] タブを開きます。
「DatabaseExample（iOS）の署名には開発チームが必要です」というエラーメッセージが表示されます。
バンドル識別子を一意の識別子に更新します。最も簡単な方法は、ウェブサイトの逆ドメイン名を使用することです（例: com.acme.samples.firebase.quickstart.DatabaseExample。この ID は使用しないでください。独自のユニークな ID を選択してください）。
開発チームを選択します。
Xcode に [Provisioning Profile: Xcode Managed Profile] とこのラベルの横に小さな情報アイコンが表示されたら、すべて正常に完了しています。このアイコンをクリックすると、プロビジョニングプロファイルの詳細が表示されます。

iOS アプリを接続する

アプリの接続について詳しくは、iOS プロジェクトに Firebase を追加するに関するドキュメントをご覧ください。まず、Firebase コンソールで次の手順を行います。

新しいプロジェクトの [Project Overview] 画面で、[+ Add app] ボタンをクリックし、[iOS+] アイコンをクリックして、Firebase プロジェクトに新しい iOS アプリを追加します。
アプリのバンドル ID を入力します（前のセクションで定義したものを使用します。たとえば com.acme.samples.firebase.quickstart.DatabaseExample などです。これは一意の識別子でなければなりません）。
[アプリを登録] をクリックします。
Firebase は、アプリに必要なすべての Firebase メタデータを含む GoogleService-Info.plist ファイルを生成します。
[GoogleService-Info.plist をダウンロード] をクリックして、ファイルをダウンロードします。
Xcode で、プロジェクトに GoogleService-Info.plist という名前のファイルがすでに含まれていることを確認します。まずこのファイルを削除します。次のステップで、独自の Firebase プロジェクトのファイルに置き換えます。
前の手順でダウンロードした GoogleService-Info.plist ファイルを Xcode プロジェクトのルートフォルダにコピーし、DatabaseExample (iOS) ターゲットに追加します。ファイル名が GoogleService-Info.plist であることを確認してください。
登録フローの残りのステップをすべてクリックします。サンプルプロジェクトはすでに正しく設定されているため、コードを変更する必要はありません。

Firebase Authentication を構成する

ぜひここまででかなり設定しましたが、もう少しです。Firebase を初めて使用する場合は、すぐに慣れるワークフローの重要な部分を確認してください。

次に、このアプリの Firebase Authentication を構成します。

Firebase コンソールで、コンソールの [Authentication] セクションを開きます。
[始める] をクリックして、プロジェクトの Firebase Authentication を設定します。
[ログイン方法] タブを選択します。
[ネイティブプロバイダ] で [メール/パスワード] を選択します。
[メール/パスワード] を有効にして、[保存] をクリックします。

テストユーザーを追加する

[Authentication] セクションの [Users] タブを開きます。
[ユーザーを追加] をクリックします。
テストユーザーのメールアドレスとパスワードを指定し、[ユーザーを追加] をクリックします。

アプリを試してみる

Xcode に戻り、iOS シミュレータでアプリケーションを実行します。作成したテストユーザーのメールアドレスとパスワードでログインします。ログインしたら、投稿を作成したり、既存の投稿にコメントしたり、投稿にスターを付けたり外したりします。

6. App Attest 認証プロバイダを構成する

このステップでは、Firebase コンソールで App Attest プロバイダを使用するように App Check を構成します。

Firebase コンソールで、コンソールの [App Check] セクションに移動します。
[開始] をクリックします。
[アプリ] タブで、アプリをクリックして詳細を表示します。
[App Attest] をクリックして App Attest を構成し、Apple Developer アカウントのチーム ID を入力します（この ID は Apple Developer ポータルの [Membership] セクションで確認できます）。
[保存] をクリックします。

これで、新しいアプリに接続され、App Check が有効になっている Firebase プロジェクトが完成しました。

これで、特定のアテステーションサービスを構成する準備が整いました。このワークフローの詳細については、iOS で App Attest を使用して App Check を有効にするをご覧ください。

7. アプリケーションの App Attest を構成する

Firebase App Check SDK を実際に使用して、クライアントコードを実装してみましょう。

まず、SDK が Apple の App Attest API を使用して、アプリから送信されたリクエストがアプリの正当なインスタンスから送信されたものであることを確認できるように、Xcode プロジェクトを構成する必要があります。

Xcode プロジェクトで、アプリターゲットの App Attest 機能を追加します。
アプリターゲット設定の [Signing & Capabilities] タブを開きます。
[+] ボタンをクリックします。
ダイアログで、App Attest 機能を見つけて選択します。
前の手順を実行すると、Xcode プロジェクトのルートフォルダに DatabaseExample (iOS).entitlements ファイルが表示されます。
DatabaseExample (iOS).entitlements ファイルで、App Attest Environment キーの値を production. に変更します。

これらの手順を完了して、物理的な iOS デバイス（iPhone/iPad）でアプリを起動すると、アプリは引き続き Realtime Database にアクセスできます。後のステップで App Check を適用すると、不正なアプリやデバイスから送信されるリクエストがブロックされます。

このワークフローの詳細については、iOS で App Attest を使用して App Check を有効にするをご覧ください。

8. iOS シミュレータのデバッグ証明書プロバイダを構成する

Firebase App Check Debug プロバイダを使用すると、開発プロセス中に iOS シミュレータなどの信頼できない環境で Firebase App Check の適用を使用してアプリケーションをテストできます。次に、デバッグプロバイダを一緒に構成する必要があります。

アプリに Firebase デバッグプロバイダをインストールする

オプション 1: ファクトリでデバッグプロバイダのインスタンスを条件付きで作成する

この処理のほとんどは、App Check プロバイダファクトリを作成したときに行いました。このステップでは、デバッグプロバイダによって生成されたローカルデバッグシークレットのロギングを追加します。これにより、デバッグ目的で Firebase コンソールにアプリのこのインスタンスを登録できます。

次のコードで MyAppCheckProviderFactory.swift を更新します。

import Firebase

class MyAppCheckProviderFactory: NSObject, AppCheckProviderFactory {
  func createProvider(with app: FirebaseApp) -> AppCheckProvider? {
#if targetEnvironment(simulator)
    // App Attest is not available on simulators.
    // Use a debug provider.
    let provider = AppCheckDebugProvider(app: app)

    // Print only locally generated token to avoid a valid token leak on CI.
    print("Firebase App Check debug token: \(provider?.localDebugToken() ?? "" )")

    return provider
#else
    // Use App Attest provider on real devices.
    return AppAttestProvider(app: app)
#endif
  }
}

この方法では、環境に応じて App Check をより柔軟に構成できます。たとえば、App Attest が利用できない OS バージョンでは、DeviceCheck などの他の証明書プロバイダやカスタム証明書プロバイダを使用できます。以下の例をご覧ください。

import Firebase

class MyAppCheckProviderFactory: NSObject, AppCheckProviderFactory {
  func createProvider(with app: FirebaseApp) -> AppCheckProvider? {
      #if targetEnvironment(simulator)
      // App Attest is not available on simulators.
      // Use a debug provider.
      let provider = AppCheckDebugProvider(app: app)

      // Print only locally generated token to avoid a valid token leak on CI.
      print("Firebase App Check debug token: \(provider?.localDebugToken() ?? "" )")

      return provider
      #else
      if #available(iOS 14.0, *) {
        // Use App Attest provider on real devices.
        return AppAttestProvider(app: app)
      } else {
        return DeviceCheckProvider(app: app)
      }
      #endif
  }
}

オプション 2: `AppCheckDebugProviderFactory` をインストールする

簡単なケースでは、Firebase アプリケーションインスタンスを構成する前に AppCheckDebugProviderFactory を一時的または条件付きでインストールできます。

init() {
#if targetEnvironment(simulator)
  let providerFactory = AppCheckDebugProviderFactory()
#else
  let providerFactory = MyAppCheckProviderFactory()
#endif

  AppCheck.setAppCheckProviderFactory(providerFactory)

  FirebaseApp.configure()
}

これにより、独自の App Check プロバイダファクトリを作成する際のコード行数を減らすことができます。

Firebase コンソールでデバッグシークレットを登録する

iOS シミュレータからデバッグシークレットを取得する

AppCheckDebugProviderFactory（上記のオプション 2）をインストールした場合は、アプリの起動引数に -FIRDebugEnabled を追加して、アプリのデバッグロギングを有効にする必要があります。
シミュレータでアプリを実行する
Xcode コンソールでデバッグシークレットを見つけます。コンソールフィルタを使用すると、より迅速に検索できます。

注: デバッグシークレットは、アプリの初回起動時にシミュレータ用に生成され、ユーザーのデフォルトに保存されます。アプリを削除したり、シミュレータをリセットしたり、別のシミュレータを使用したりすると、新しいデバッグシークレットが生成されます。新しいデバッグシークレットを登録してください。

デバッグシークレットを登録する

Firebase コンソールに戻り、[App Check] セクションに移動します。
[アプリ] タブで、アプリをクリックして詳細を表示します。
オーバーフローメニューで、[デバッグトークンを管理] を選択します。
Xcode コンソールからコピーしたシークレットを追加し、[保存 ] をクリックします。

これらの手順を完了すると、App Check が適用されている場合でも、シミュレータでアプリを使用できるようになります。

注: デバッグプロバイダは、デバッグシークレットの漏洩を防ぐために特別に設計されています。現在の方法では、デバッグシークレットをソースコードに保存する必要はありません。

このフローの詳細については、ドキュメント（iOS で App Check とデバッグプロバイダを使用する）をご覧ください。

9. Firebase Realtime Database で App Check の適用を有効にする

今のところ、アプリは実際のデバイスの AppAttestProvider を返す AppCheckProviderFactory を宣言しています。物理デバイスで実行すると、アプリは証明書を取得し、結果を Firebase バックエンドに送信します。ただし、Firebase バックエンドは、デバイス、iOS シミュレータ、スクリプトなどからのリクエストをすべて受け付けます。このモードは、App Check を使用していない古いバージョンのアプリを使用しているユーザーがまだいる場合に、アクセスチェックをまだ強制したくないときに便利です。

次に、Firebase アプリに正当なデバイスからのみアクセスできるように、App Check の適用を有効にする必要があります。Firebase プロジェクトで適用を有効にすると、App Check の統合がない古いバージョンのアプリは動作しなくなります。

注意: 既存のユーザーがいるライブアプリケーションの場合、ユーザーが App Check 認証をパスできる新しいバージョンのアプリに移行したことを確信できる場合を除き、強制適用を有効にしないでください。App Check が統合されていない古いアプリを使用しているすべてのユーザーは、正当なデバイスから使用している場合でも、Realtime Database にアクセスできなくなります。

ユーザーがスムーズに移行できるようにするには、通常、App Check と統合したアプリを事前にリリースし、Firebase プロジェクトの適用をしばらくの間無効にしておく必要があります。Firebase コンソールで利用可能な App Check リクエスト指標は、適用を有効にする適切なタイミングを判断するのに役立ちます。

Firebase コンソールの [App Check] セクションで、[Realtime Database] をクリックして詳細を開きます。
[適用] をクリックします。

確認ダイアログの情報を読み、[適用] をクリックします。

これらの手順を完了すると、正当なアプリのみがデータベースにアクセスできるようになります。それ以外のアプリはすべてブロックされます。

不正なアプリで Realtime Database にアクセスしてみる

App Check の適用を実際に確認するには、次の手順を行います。

DatabaseExampleApp のアプリエントリポイントの init メソッドで App Check 登録コードをコメントアウトして、App Check 登録を無効にします。
[Device] > [Erase All Content and Settings] を選択して、シミュレータをリセットします。これにより、シミュレータがワイプされ（デバイストークンが無効になります）、
シミュレータでアプリを再度実行します。

次のエラーメッセージが表示されます。

[FirebaseDatabase][I-RDB034005] Firebase Database connection was forcefully killed by the server.  Will not attempt reconnect. Reason: Invalid appcheck token.

App Check を再度有効にするには、次の操作を行います。

DatabaseExampleApp で App Check 登録コードのコメントを解除します。
アプリを再起動します。
Xcode のコンソールで新しい App Check トークンを確認します。
Firebase コンソールのアプリの App Check 設定でデバッグトークンを登録します。
アプリを再実行します。
エラーメッセージが表示されなくなり、アプリで新しい投稿やコメントを追加できるようになります。

10. 完了

以下のことができるようになりました。

既存のプロジェクトに App Check を追加する
アプリのリリース版の App Attest 認証プロバイダを構成する
シミュレータでアプリをテストするようにデバッグ証明書プロバイダを構成する
アプリのバージョンロールアウトをモニタリングして、Firebase プロジェクトで App Check を適用するタイミングを把握する
App Check の適用を有効にする

次のステップ

Firebase Remote Config を使用して Firebase App Check を段階的にロールアウトする Codelab で、Remote Config を使用して App Check をユーザーに段階的にロールアウトする方法を学習する

その他のリソース

この Codelab で説明する設定はほとんどの場合に機能しますが、必要に応じて App Check を使用して柔軟性を高めることもできます。詳しくは、次のリンクをご覧ください。