拡張機能に適切なアクセス権を設定する

拡張機能が指定されたアクションを実行するため、Firebase はサービス アカウントを介して、インストールされた拡張機能のインスタンスごとにプロジェクトとそのデータへの制限付きアクセス権を付与します。

サービス アカウントとは

サービス アカウントは、特殊なタイプの Google ユーザー アカウントです。Google サービスに対して承認済みの API 呼び出しを行うことができる、人間以外のユーザーを表します。

拡張機能のインストール中に、Firebase によってプロジェクト内に拡張機能のサービス アカウントが作成されます。インストールされた拡張機能のインスタンスごとに、固有のサービス アカウントがあります。拡張機能のインスタンスがアンインストールされると、Firebase は拡張機能のサービス アカウントを削除します。

拡張機能用に作成されるサービス アカウントは次の形式になります。

ext-extension-instance-id@project-id.iam.gserviceaccount.com

Firebase は、拡張機能のサービス アカウントに特定のロール（一連の権限）を割り当てることで、プロジェクトとそのデータへの拡張機能のアクセスを制限します。拡張機能を作成する際は、拡張機能が動作するために必要なロールを決定してから、そのロールと拡張機能がそれを必要とする理由を extension.yaml ファイルにリストします（このページの下部にある例をご覧ください）。

拡張機能に必要なロールを決定する

拡張機能を作成する際は、拡張機能が動作するために必要なアクセスレベルを決定します。

拡張機能のインストールで、Firebase CLI からユーザー対して、各ロールで付与されるアクセスレベルの承認を求めるプロンプトが表示されます。拡張機能が実際に必要とする以上のロールをリクエストすると、ユーザーが拡張機能をインストールできる可能性が低くなります。

  1. 拡張機能がプロダクトとやり取りしているかどうかを確認します。

    • 拡張機能がプロダクトとやり取りしている場合、拡張機能にそのプロダクトへのアクセス権を付与する必要があります。

      たとえば、拡張機能が Realtime Database インスタンスにデータを書き込む場合、拡張機能には Realtime Database のロール（特に firebasedatabase.admin）が必要です。

    • 拡張機能がプロダクトからトリガーとなるイベントをリッスンするだけであれば、拡張機能はそのプロダクトに関連付けられているロールを必要としません。

      たとえば、拡張機能が Realtime Database インスタンスへの書き込みによってトリガーされる（ただしデータベースには何も書きこまない）場合、拡張機能には Realtime Database ロールは必要ありません。

  2. 拡張機能がやり取りするプロダクトが確認されると、その特定のインタラクションに必要なロールを決定する必要があります。一部のプロダクトでは、実行するアクションまたは一連のアクションに応じて別々のロールが提供されます。

    たとえば、拡張機能が Cloud Storage バケットとやり取りしているとします。storage.objectCreator のロールでは、拡張機能が Cloud Storage バケットにオブジェクトをcreateことはできますが、オブジェクトの表示、削除、上書きはできません。拡張機能がこの追加アクションを実行できるようにするには、storage.objectAdmin ロールを割り当てる必要があります。

このページの下部のセクションで、拡張機能のサービス アカウントに割り当てることのできるサポートされているロールをすべて紹介しています。各ロールの説明と付与される権限については、Firebase のドキュメントまたはGoogle Cloud のドキュメントをご覧ください。Google Cloud コンソールの [IAM と管理] パネルでもロールの検索が可能です。

拡張機能へのロールの割り当て方

拡張機能が動作するために必要な IAM ロールを extension.yaml ファイルの roles セクションにリストします。

指定した Firebase Realtime Database パスをリッスンする拡張機能の例を次に示します。拡張機能がトリガーされると、ユーザー アカウントのメール（Firebase Authentication とのインタラクション）が更新され、通知（Firebase Cloud Messaging とのインタラクション）が送信されます。次の点に注意してください。

  • Realtime Databaseイベントから拡張機能がトリガーされても、firebasedatabase.admin ロールはリストされません（リッスンはインタラクションとはみなされません）。
  • この拡張機能は Authentication と Cloud Messaging とやり取りするため、このようなプロダクトにアクセスするためのロール（それぞれ firebaseauth.admin と firebasenotifications.admin）が必要です。
# extension.yaml
...

# Roles assigned to the extension's service account by Firebase during installation
roles:
  - role: firebaseauth.admin
    reason: Required to update the email address of the user account

  - role: firebasenotifications.admin
    reason: Required to send a notification that the email address has been updated

...

extension.yaml ファイルで、次のフィールドを使用して拡張機能のサービス アカウントにロールを割り当てます。

フィールド 型 説明
role
（必須） 		文字列 拡張機能が動作するために必要な IAM ロールの名前
reason
（必須）		 文字列

ロールによって付与されたアクセス権が拡張機能に必要な理由の簡単な説明

拡張機能がロールをどのように使用するかをユーザーが理解できるように、十分な詳細情報を提供してください。
resource
（省略可）		 文字列

このロールを追加するリソースの IAM ポリシー。省略された場合、デフォルトの projects/${project_id} になります。

サポートされる値は projects/* と projects/*/buckets/* です。

ロールの範囲を縮小する

拡張機能では、最小権限の原則に従い、必要なリソースへのアクセス権のみをリクエストする必要があります。拡張機能のアクセス範囲を制限するには、role.resource フィールドを使用します。たとえば、拡張機能でオブジェクトを Cloud Storage バケットに書き込む必要がある場合は、次のロールを使用できます。

roles:
  - role: storage.objectCreator
    reason: Needed in order to write
    resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}

これにより、拡張機能は必要なバケットにのみアクセスでき、同じプロジェクトの他のバケットにはアクセスできません。

このフィールドは、プロジェクト（projects/{project_id}）とストレージ バケット（projects/{project_id}/buckets/{bucket_id}）をサポートしています。

拡張機能でサポートされているロール

次の表に、Firebase プロダクトとのやり取りでサポートされている IAM ロールを示します。この表のロールのほとんどは、Firebase プロダクト レベルのロールですが、一部は Google Cloud（具体的には Cloud Firestore と Cloud Storage）によって直接管理されています。

Firebase プロダクト

拡張機能がやり取りする対象 割り当てられるロール
Cloud Firestore datastore.importExportAdmin
datastore.indexAdmin
datastore.owner
datastore.user
datastore.viewer
Cloud Storage for Firebase storage.admin
storage.objectAdmin
storage.objectCreator
storage.objectViewer
Firebase App Distribution firebaseappdistro.admin
firebaseappdistro.viewer
Firebase Authentication firebaseauth.admin
firebaseauth.viewer
Firebase A/B Testing firebaseabt.admin
firebaseabt.viewer
Firebase Cloud Messaging firebasenotifications.admin
firebasenotifications.viewer
Firebase Crashlytics firebasecrashlytics.admin
firebasecrashlytics.viewer
Firebase Hosting firebasehosting.admin
firebasehosting.viewer
Firebase In-App Messaging firebaseinappmessaging.admin
firebaseinappmessaging.viewer
Firebase ML firebaseml.admin
firebaseml.viewer
Firebase Performance Monitoring firebaseperformance.viewer
firebaseperformance.reader
firebaseperformance.writer
Firebase Realtime Database firebasedatabase.admin
firebasedatabase.viewer
セキュリティ ルール firebaserules.viewer
firebaserules.developer
firebaserules.deployer
Google Analytics firebaseanalytics.admin
firebaseanalytics.viewer

Google Cloud プロダクト

このようなロールの詳細については、Google Cloud のドキュメントをご覧ください。

拡張機能がやり取りする対象 割り当てられるロール
アクション actions.Admin
actions.Viewer
Apigee apigee.analyticsAgent
apigee.analyticsEditor
apigee.analyticsViewer
apigee.apiCreator
apigee.deployer
apigee.developerAdmin
apigee.readOnlyAdmin
apigee.synchronizerManager
App Engine appengine.appAdmin
appengine.appViewer
appengine.codeViewer
appengine.deployer
appengine.serviceAdmin
AutoML automl.editor
automl.predictor
automl.viewer
BigQuery bigquery.connectionAdmin
bigquery.connectionUser
bigquery.dataEditor
bigquery.dataOwner
bigquery.dataViewer
bigquery.jobUser
bigquery.metadataViewer
bigquery.readSessionUser
bigquery.user
Cloud Bigtable bigtable.reader
bigtable.user
bigtable.viewer
課金 billing.viewer
ハングアウト チャット chat.owner
chat.reader
Cloud Asset cloudasset.owner
cloudasset.viewer
Cloud Data Fusion datafusion.admin
datafusion.viewer
Cloud デバッガ clouddebugger.agent
clouddebugger.user
Cloud Functions cloudfunctions.invoker
cloudfunctions.viewer
Cloud IAP iap.admin
iap.httpsResourceAccessor
iap.settingsAdmin
iap.tunnelResourceAccessor
Cloud IoT cloudiot.deviceController
cloudiot.editor
cloudiot.provisioner
cloudiot.viewer
Stackdriver Profiler cloudprofiler.agent
cloudprofiler.user
Cloud Scheduler cloudscheduler.admin
cloudscheduler.jobRunner
cloudscheduler.viewer
Cloud Security Scanner cloudsecurityscanner.editor
cloudsecurityscanner.runner
cloudsecurityscanner.viewer
Cloud SQL cloudsql.client
cloudsql.editor
cloudsql.viewer
Cloud Trace cloudtrace.admin
cloudtrace.agent
cloudtrace.user
Dataflow dataflow.developer
dataflow.viewer
dataflow.worker
Dialogflow dialogflow.admin
dialogflow.client
dialogflow.reader
Cloud Data Loss Prevention dlp.reader
dlp.user
Error Reporting errorreporting.user
errorreporting.viewer
errorreporting.writer
Eventarc eventarc.publisher
eventarc.eventReceiver
Cloud Filestore file.editor
file.viewer
ロギング logging.configWriter
logging.logWriter
logging.privateLogViewer
logging.viewer
ML Engine ml.developer
ml.jobOwner
ml.modelOwner
ml.modelUser
ml.operationOwner
ml.viewer
モニタリング monitoring.editor
monitoring.metricWriter
monitoring.viewer
AI Notebooks notebooks.admin
notebooks.viewer
Pub/Sub pubsub.editor
pubsub.publisher
pubsub.subscriber
pubsub.viewer
Memorystore Redis redis.editor
redis.viewer
Cloud Run run.invoker
ソース source.reader
source.writer
Cloud Spanner spanner.databaseAdmin
spanner.databaseReader
spanner.databaseUser
spanner.viewer
Service Usage serviceusage.apiKeysMetadataViewer
Cloud Storage Transfer Service storagetransfer.user
storagetransfer.viewer
Cloud Transcoder transcoder.admin
transcoder.viewer
Vertex AI aiplatform.user
その他 identitytoolkit.admin
identitytoolkit.viewer