Firebase Summit で発表されたすべての情報をご覧ください。Firebase を使用してアプリ開発を加速し、自信を持ってアプリを実行する方法を紹介しています。詳細

送信リクエストを承認する

アプリ サーバーまたは信頼できる環境から FCM に送信されるリクエストは、承認される必要があります。従来の HTTP と HTTP v1 API 承認の重要な違いに注意してください。

  • FCM HTTP v1 API は、有効期間が短い OAuth 2.0 アクセス トークンを使用してリクエストを承認します。このトークンを作成するには、(Google サーバー環境で) Google アプリケーションの既定の資格情報を使用するか、サービス アカウント用に生成された JSON 秘密鍵ファイルから必要な資格情報を手動で取得します。 Firebase Admin SDK を使用してメッセージを送信している場合、ライブラリがトークンを処理します。
  • レガシー プロトコルは、Firebase コンソールから取得した有効期間の長い API キーのみを使用できます。

HTTP v1 送信要求を承認する

サーバー環境の詳細に応じて、次の戦略を組み合わせて使用​​し、Firebase サービスへのサーバー リクエストを承認します。

  • Google アプリケーションの既定の資格情報 (ADC)
  • サービス アカウントの JSON ファイル
  • サービス アカウントから派生した有効期間の短い OAuth 2.0 アクセス トークン

アプリケーションが Compute Engine、Google Kubernetes Engine、App Engine、または Cloud Functions (Cloud Functions for Firebase を含む) で実行されている場合は、 Application Default Credentials (ADC) を使用します。 ADC は、既存のデフォルト サービス アカウントを使用して認証情報を取得し、リクエストを承認します。ADC は、環境変数GOOGLE_APPLICATION_CREDENTIALSを介して柔軟なローカル テストを有効にします。認証フローを最大限に自動化するには、ADC を Admin SDK サーバー ライブラリと一緒に使用します。

アプリケーションが Google 以外のサーバー環境で実行されている場合は、Firebase プロジェクトからサービス アカウントの JSON ファイルをダウンロードする必要があります。秘密鍵ファイルを含むファイル システムにアクセスできる限り、環境変数GOOGLE_APPLICATION_CREDENTIALSを使用して、これらの手動で取得した資格情報でリクエストを承認できます。このようなファイル アクセスがない場合は、コードでサービス アカウント ファイルを参照する必要があります。これは、資格情報が公開されるリスクがあるため、細心の注意を払って行う必要があります。

ADC を使用して資格情報を提供する

Google Application Default Credentials (ADC) は、次の順序で資格情報を確認します。

  1. ADC は、環境変数GOOGLE_APPLICATION_CREDENTIALSが設定されているかどうかを確認します。変数が設定されている場合、ADC は変数が指すサービス アカウント ファイルを使用します。

  2. 環境変数が設定されていない場合、ADC は、Compute Engine、Google Kubernetes Engine、App Engine、および Cloud Functions がそれらのサービスで実行されるアプリケーションに提供するデフォルトのサービス アカウントを使用します。

  3. ADC が上記の資格情報のいずれも使用できない場合、システムはエラーをスローします。

次の Admin SDK コード例は、この戦略を示しています。この例では、アプリケーションの資格情報を明示的に指定していません。ただし、ADC は、環境変数が設定されている限り、またはアプリケーションが Compute Engine、Google Kubernetes Engine、App Engine、または Cloud Functions で実行されている限り、資格情報を暗黙的に見つけることができます。

Node.js

admin.initializeApp({
  credential: admin.credential.applicationDefault(),
});

ジャワ

FirebaseOptions options = FirebaseOptions.builder()
    .setCredentials(GoogleCredentials.getApplicationDefault())
    .setDatabaseUrl("https://<DATABASE_NAME>.firebaseio.com/")
    .build();

FirebaseApp.initializeApp(options);

パイソン

default_app = firebase_admin.initialize_app()

行け

app, err := firebase.NewApp(context.Background(), nil)
if err != nil {
	log.Fatalf("error initializing app: %v\n", err)
}
init.go

C#

FirebaseApp.Create(new AppOptions()
{
    Credential = GoogleCredential.GetApplicationDefault(),
});

資格情報を手動で提供する

Firebase プロジェクトは Googleサービス アカウントをサポートしています。これを使用して、アプリサーバーまたは信頼できる環境から Firebase サーバー API を呼び出すことができます。コードをローカルで開発している場合、またはアプリケーションをオンプレミスにデプロイしている場合は、このサービス アカウントを介して取得した資格情報を使用して、サーバー リクエストを承認できます。

サービス アカウントを認証し、Firebase サービスへのアクセスを承認するには、JSON 形式で秘密鍵ファイルを生成する必要があります。

サービス アカウントの秘密鍵ファイルを生成するには:

  1. Firebase コンソールで、 [設定] > [サービス アカウント]を開きます。

  2. [ Generate New Private Key ] をクリックし、[ Generate Key ] をクリックして確認します。

  3. キーを含む JSON ファイルを安全に保管します。

サービス アカウントを介して承認する場合、資格情報をアプリケーションに提供する方法は 2 つあります。 GOOGLE_APPLICATION_CREDENTIALS環境変数を設定するか、コードでサービス アカウント キーへのパスを明示的に渡すことができます。最初のオプションはより安全であり、強くお勧めします。

環境変数を設定するには:

環境変数GOOGLE_APPLICATION_CREDENTIALSを、サービス アカウント キーを含む JSON ファイルのファイル パスに設定します。この変数は現在のシェル セッションにのみ適用されるため、新しいセッションを開く場合は、変数を再度設定してください。

Linux または macOS

export GOOGLE_APPLICATION_CREDENTIALS="/home/user/Downloads/service-account-file.json"

ウィンドウズ

PowerShell の場合:

$env:GOOGLE_APPLICATION_CREDENTIALS="C:\Users\username\Downloads\service-account-file.json"

上記の手順を完了すると、Application Default Credentials (ADC) は資格情報を暗黙的に決定できるようになり、Google 以外の環境でテストまたは実行するときにサービス アカウントの資格情報を使用できるようになります。

認証情報を使用してアクセス トークンを作成する

認証を自動的に処理するAdmin SDKを使用している場合を除き、アクセス トークンを作成して追加し、リクエストを送信する必要があります。

Firebase 認証情報を、優先言語のGoogle Auth ライブラリと一緒に使用して、有効期間が短い OAuth 2.0 アクセス トークンを取得します。

node.js

 function getAccessToken() {
  return new Promise(function(resolve, reject) {
    const key = require('../placeholders/service-account.json');
    const jwtClient = new google.auth.JWT(
      key.client_email,
      null,
      key.private_key,
      SCOPES,
      null
    );
    jwtClient.authorize(function(err, tokens) {
      if (err) {
        reject(err);
        return;
      }
      resolve(tokens.access_token);
    });
  });
}
index.js

この例では、Google API クライアント ライブラリが JSON Web トークン (JWT) を使用してリクエストを認証します。詳しくは、 JSON Web トークンを参照してください。

パイソン

def _get_access_token():
  """Retrieve a valid access token that can be used to authorize requests.

  :return: Access token.
  """
  credentials = service_account.Credentials.from_service_account_file(
    'service-account.json', scopes=SCOPES)
  request = google.auth.transport.requests.Request()
  credentials.refresh(request)
  return credentials.token
messaging.py

ジャワ

private static String getAccessToken() throws IOException {
  GoogleCredentials googleCredentials = GoogleCredentials
          .fromStream(new FileInputStream("service-account.json"))
          .createScoped(Arrays.asList(SCOPES));
  googleCredentials.refreshAccessToken();
  return googleCredentials.getAccessToken().getTokenValue();
}
Messaging.java

アクセス トークンの有効期限が切れると、トークンの更新メソッドが自動的に呼び出され、更新されたアクセス トークンが取得されます。

FCM へのアクセスを承認するには、スコープhttps://www.googleapis.com/auth/firebase.messagingをリクエストします。

アクセス トークンを HTTP 要求ヘッダーに追加するには:

Authorization: Bearer <access_token>の形式でAuthorizationヘッダーの値としてトークンを追加します。

node.js

headers: {
  'Authorization': 'Bearer ' + accessToken
}
index.js

パイソン

headers = {
  'Authorization': 'Bearer ' + _get_access_token(),
  'Content-Type': 'application/json; UTF-8',
}
messaging.py

ジャワ

URL url = new URL(BASE_URL + FCM_SEND_ENDPOINT);
HttpURLConnection httpURLConnection = (HttpURLConnection) url.openConnection();
httpURLConnection.setRequestProperty("Authorization", "Bearer " + getAccessToken());
httpURLConnection.setRequestProperty("Content-Type", "application/json; UTF-8");
return httpURLConnection;
Messaging.java

レガシ プロトコルの送信要求を承認する

HTTP レガシー プロトコルでは、各リクエストに、Firebase コンソールの[設定]ペインの [クラウド メッセージング] タブからのサーバー キーが含まれている必要があります。 XMPP の場合、同じサーバー キーを使用して接続を確立する必要があります。

レガシー サーバー キーを移行する

2020 年 3 月以降、FCM はレガシー サーバー キーの作成を停止しました。既存のレガシー サーバー キーは引き続き機能しますが、代わりに、 Firebase コンソールでServer keyというラベルの新しいバージョンのキーを使用することをお勧めします。

既存のレガシー サーバー キーを削除する場合は、 Google Cloud Consoleで行うことができます。

HTTP リクエストを承認する

メッセージ要求は、HTTP ヘッダーと HTTP 本文の 2 つの部分で構成されます。 HTTP ヘッダーには、次のヘッダーが含まれている必要があります。

  • Authorization : key=YOUR_SERVER_KEY
    これがサーバーキーであることを確認してください。その値は、Firebase コンソールの[設定]ペインの [クラウド メッセージング] タブで確認できます。 Android、Apple プラットフォーム、およびブラウザ キーは FCM によって拒否されます。
  • Content-Type : JSON の場合はapplication/json 。 application/x-www-form-urlencoded;charset=UTF-8 。
    Content-Typeを省略した場合、形式はプレーン テキストと見なされます。

例えば：

Content-Type:application/json
Authorization:key=AIzaSyZ-1u...0GBYzPu7Udno5aA

{
  "to" : "bk3RNwTe3H0:CI2k_HHwgIpoDKCIZvvDMExUdFQ3P1...",
  "data" : {
    ...
  },
}

送信リクエストの作成の詳細については、送信リクエストの作成を参照してください。 Legacy HTTP Protocol Referenceには、メッセージに含めることができるすべてのパラメーターのリストが記載されています。

サーバーキーの有効性の確認

メッセージの送信時に認証エラーが発生した場合は、サーバー キーの有効性を確認してください。たとえば、Linux では、次のコマンドを実行します。

api_key=YOUR_SERVER_KEY

curl --header "Authorization: key=$api_key" \
     --header Content-Type:"application/json" \
     https://fcm.googleapis.com/fcm/send \
     -d "{\"registration_ids\":[\"ABC\"]}"

401 HTTP ステータス コードを受け取った場合、サーバー キーは有効ではありません。

XMPP 接続を承認する

XMPP を使用すると、FCM サーバーへの永続的で非同期の双方向接続を維持できます。この接続を使用して、サーバーとユーザーの FCM 接続デバイスの間でメッセージを送受信できます。

ほとんどの XMPP ライブラリを使用して、FCM への長期接続を管理できます。 XMPP エンドポイントはfcm-xmpp.googleapis.com:5235で実行されます。非実稼働ユーザーで機能をテストする場合は、代わりにfcm-xmpp.googleapis.com:5236で実稼働前サーバーに接続する必要があります (別のポートに注意してください)。

運用前 (最新の FCM ビルドが実行される小規模な環境) での定期的なテストは、実際のユーザーをテスト コードから分離するのに役立ちます。 fcm-xmpp.googleapis.com:5236に接続するテスト デバイスとテスト コードでは、別の FCM 送信者 ID を使用して、テスト メッセージを本番ユーザーに送信したり、テスト接続を介して本番トラフィックからアップストリーム メッセージを送信したりするリスクを回避する必要があります。

接続には 2 つの重要な要件があります。

  • Transport Layer Security (TLS) 接続を開始する必要があります。 FCM は現在、 STARTTLS 拡張機能をサポートしていないことに注意してください。
  • FCM では、 <your_FCM_Sender_Id>@fcm.googleapis.com (FCM送信者 ID ) とサーバー キーをパスワードとして使用する SASL PLAIN 認証メカニズムが必要です。これらの値は、Firebase コンソールの[設定]ペインの [クラウド メッセージング] タブで使用できます。

接続が失敗した場合は、すぐに再接続する必要があります。認証後に発生する切断後にバックオフする必要はありません。送信者 IDごとに、FCM は 2500 の並列接続を許可します。

次のスニペットは、FCM への XMPP 接続の認証と承認を実行する方法を示しています。

XMPP サーバー

XMPP サーバーが FCM への接続を要求する

<stream:stream to="fcm.googleapis.com"
        version="1.0" xmlns="jabber:client"
        xmlns:stream="http://etherx.jabber.org/streams">

FCM

FCM は接続を開き、 PLAINメソッドを含む認証メカニズムを要求します。

<stream:features>
  <mechanisms xmlns="urn:ietf:params:xml:ns:xmpp-sasl">
    <mechanism>X-OAUTH2</mechanism>
    <mechanism>X-GOOGLE-TOKEN</mechanism>
    <mechanism>PLAIN</mechanism>
  </mechanisms>
</stream:features>

XMPP サーバー

XMPP サーバーはPLAIN認証方式を使用して応答し、Firebase コンソールの[設定]ペインの [クラウド メッセージング] タブからサーバー キーを提供する必要があります。

<auth mechanism="PLAIN"
xmlns="urn:ietf:params:xml:ns:xmpp-sasl">MTI2MjAwMzQ3OTMzQHByb2plY3RzLmdjbS5hb
mFTeUIzcmNaTmtmbnFLZEZiOW1oekNCaVlwT1JEQTJKV1d0dw==</auth>

FCM

<success xmlns="urn:ietf:params:xml:ns:xmpp-sasl"/>

XMPP サーバー

<stream:stream to="fcm.googleapis.com"
        version="1.0" xmlns="jabber:client"
        xmlns:stream="http://etherx.jabber.org/streams">

FCM

<stream:features>
  <bind xmlns="urn:ietf:params:xml:ns:xmpp-bind"/>
  <session xmlns="urn:ietf:params:xml:ns:xmpp-session"/>
</stream:features>

XMPP サーバー

<iq type="set">
  <bind xmlns="urn:ietf:params:xml:ns:xmpp-bind"></bind>
</iq>

FCM

<iq type="result">
  <bind xmlns="urn:ietf:params:xml:ns:xmpp-bind">
    <jid>SENDER_ID@fcm.googleapis.com/RESOURCE</jid>
  </bind>
</iq>

注: FCM は、メッセージのルーティング中にバインドされたリソースを使用しません。

送信リクエストの作成の詳細については、送信リクエストの作成を参照してください。 Legacy XMPP Protocol Referenceには、メッセージに含めることができるすべてのパラメーターのリストが記載されています。