إعداد الوصول المناسب لإحدى الإضافات

لكي تتمكّن إحدى الإضافات من تنفيذ الإجراءات المحدّدة لها، تمنح Firebase لكل مثيل من الإضافة المثبّتة إذن وصول محدودًا إلى المشروع وبياناته من خلال حساب خدمة.

ما هو حساب الخدمة؟

حساب الخدمة هو نوع خاص من حسابات مستخدمي Google. ويمثّل هذا المستخدم مستخدمًا غير بشري يمكنه إجراء طلبات مفوَّضة من واجهة برمجة التطبيقات إلى خدمات Google.

أثناء تثبيت إحدى الإضافات، تنشئ Firebase حساب خدمة للإضافه في المشروع. لكل نسخة مثبّتة من إحدى الإضافات حساب خدمة خاص بها. في حال إلغاء تثبيت مثيل إضافة، تحذف Firebase حساب الخدمة للإضافة.

تكون حسابات الخدمة التي تم إنشاؤها للإضافات بالتنسيق التالي:

ext-extension-instance-id@project-id.iam.gserviceaccount.com

تحدّ Firebase من إمكانية وصول إحدى الإضافات إلى مشروع وبياناته من خلال منح أدوار (حِزم من الأذونات) محدّدة لحساب الخدمة الخاص بالإضافة. عند إنشاء إضافة، عليك تحديد الأدوار التي تتطلّب تشغيلها، ثم إدراج هذه الأدوار وسبب احتياج الإضافة إليها في ملف extension.yaml (راجِع المثال في أسفل هذه الصفحة).

تحديد الأدوار التي تتطلّبها الإضافة

عند إنشاء الإضافة، يمكنك تحديد مستوى الوصول الذي تتطلّبه الإضافة لكي تعمل.

أثناء التثبيت، تطلب واجهة Firebase CLI من المستخدم قبول مستوى الوصول الذي يمنحه كل دور. إذا كانت الإضافة تطلب أدوارًا أكثر مما تحتاجه، قد يقل احتمال تثبيتها من قِبل المستخدمين.

  1. حدِّد ما إذا كانت إضافتك تتفاعل مع منتج:

    • إذا كانت الإضافة تتفاعل مع منتج، عليك منح الإضافة إذنًا بالوصول إلى ذلك المنتج.

      على سبيل المثال، إذا كانت الإضافة تُسجِّل البيانات في مثيل Realtime Database، يجب أن يكون لدى الإضافة دور Realtime Database (على وجه التحديد، firebasedatabase.admin).

    • إذا كانت الإضافة تستمع فقط إلى حدث تشغيل من أحد المنتجات، لا تحتاج الإضافة إلى دور مرتبط بهذا المنتج.

      على سبيل المثال، إذا كانت الإضافة تُشغَّل عند الكتابة في مثيل Realtime Database (ولكنّها لا تكتب أي شيء في قاعدة البيانات)، فإنّ الإضافة لا تحتاج إلى دور Realtime Database.

  2. بعد تحديد المنتجات التي تتفاعل معها الإضافة، عليك تحديد الدور المطلوب لهذا التفاعل المحدّد. تقدّم بعض المنتجات أدوارًا مختلفة استنادًا إلى الإجراء أو مجموعة الإجراءات التي تم تنفيذها.

    على سبيل المثال، لنفترض أنّ إضافتك تتفاعل مع Cloud Storage مجموعة. سيسمح دور storage.objectCreator للإضافات بإنشاء عنصر في حزمة Cloud Storage، ولكن لن يسمح هذا الدور للإضافات بعرض العناصر أو حذفها أو استبدالها. لتفعيل الإضافة كي تتمكّن من تنفيذ هذه الإجراءات الإضافية، عليك منح الدور storage.objectAdmin بدلاً من ذلك.

راجِع القسم في أسفل هذه الصفحة للاطّلاع على كل الأدوار المتوافقة التي يمكنك منحها لحساب الخدمة في الإضافة. للتعرّف على وصف كل دور والأذونات الممنوحة، يُرجى الانتقال إلى مستندات Firebase أو مستندات Google Cloud. يمكنك أيضًا البحث عن الأدوار في لوحة "إدارة الهوية وإمكانية الوصول" في "وحدة تحكّم Google Cloud".

كيفية إسناد أدوار إلى إضافة

أدخِل أدوار إدارة الهوية وإمكانية الوصول المطلوبة لكي تعمل الإضافة في قسم roles من ملف extension.yaml.

في ما يلي مثال على إضافة تستمع إلى مسار Firebase Realtime Database محدّد. عند بدء الإجراء، تعدّل الإضافة بريدًا إلكترونيًا في حساب مستخدم (تفاعل مع Firebase Authentication) وتُرسِل إشعارًا (تفاعل مع Firebase Cloud Messaging). يُرجى ملاحظة ما يلي:

  • على الرغم من أنّ الإضافة تبدأ من حدث Realtime Database، لا يتم إدراج دور firebasedatabase.admin (لا يُعدّ الاستماع تفاعلًا).
  • بما أنّ الإضافة تتفاعل مع Authentication وCloud Messaging، تتطلّب الإضافة أدوارًا للوصول إلى هذين المنتجَين (firebaseauth.admin و firebasenotifications.admin، على التوالي).
# extension.yaml
...

# Roles assigned to the extension's service account by Firebase during installation
roles:
  - role: firebaseauth.admin
    reason: Required to update the email address of the user account

  - role: firebasenotifications.admin
    reason: Required to send a notification that the email address has been updated

...

في ملف extension.yaml، استخدِم الحقول التالية لمنح دور لحساب الخدمة للإضافة:

الحقل النوع الوصف
role
(مطلوب) 		السلسلة اسم دور إدارة الهوية وإمكانية الوصول الذي تحتاجه الإضافة للعمل
reason
(مطلوب)		 السلسلة

وصف موجز لسبب احتياج الإضافة إلى إذن الوصول الذي يمنحه الدور

احرص على تقديم تفاصيل كافية ليفهم المستخدم كيفية استخدام الإضافة للدور.

resource
(اختياري)		 السلسلة

سياسة إدارة الهوية وإمكانية الوصول التي يجب إضافة هذا الدور إليها وفي حال عدم إدخالها، يتم ضبط القيمة التلقائية على projects/${project_id}.

القيم المسموح بها هي projects/* وprojects/*/buckets/*.

تقليل نطاق الأدوار

يجب أن تتّبع الإضافات مبدأ الحد الأدنى من الامتيازات وأن تطلب فقط الوصول إلى الموارد التي تحتاجها. يمكنك تقييد نطاق وصول إحدى الإضافات باستخدام الحقل role.resource. على سبيل المثال، إذا كانت الإضافة بحاجة إلى كتابة عناصر في حزمة على Cloud Storage، يمكنك استخدام الدور التالي:

roles:
  - role: storage.objectCreator
    reason: Needed in order to write
    resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}

يتيح ذلك للإضافة الوصول إلى الحزمة التي تحتاج إليها فقط، وليس إلى الحزم الأخرى في المشروع نفسه.

يتوافق هذا الحقل مع المشاريع (projects/{project_id}) و حِزم التخزين (projects/{project_id}/buckets/{bucket_id}).

الأدوار المتوافقة للإضافات

يسرد الجدول التالي أدوار إدارة الهوية وإمكانية الوصول المتوافقة للتفاعل مع منتجات Firebase. معظم الأدوار الواردة في هذا الجدول هي أدوار على مستوى منتج Firebase، ولكن تدير Google Cloud بعض الأدوار مباشرةً (على وجه التحديد، Cloud Firestore و Cloud Storage).

منتجات Firebase

إذا كانت الإضافة تتفاعل مع... إسناد أحد هذه الأدوار
Cloud Firestore datastore.importExportAdmin
datastore.indexAdmin
datastore.owner
datastore.user
datastore.viewer
Cloud Storage for Firebase storage.admin
storage.objectAdmin
storage.objectCreator
storage.objectViewer
Firebase App Distribution firebaseappdistro.admin
firebaseappdistro.viewer
Firebase Authentication firebaseauth.admin
firebaseauth.viewer
Firebase A/B Testing firebaseabt.admin
firebaseabt.viewer
Firebase Cloud Messaging firebasenotifications.admin
firebasenotifications.viewer
Firebase Crashlytics firebasecrashlytics.admin
firebasecrashlytics.viewer
Firebase Hosting firebasehosting.admin
firebasehosting.viewer
Firebase In-App Messaging firebaseinappmessaging.admin
firebaseinappmessaging.viewer
Firebase ML firebaseml.admin
firebaseml.viewer
Firebase Performance Monitoring firebaseperformance.viewer
firebaseperformance.reader
firebaseperformance.writer
Firebase Realtime Database firebasedatabase.admin
firebasedatabase.viewer
قواعد الأمان firebaserules.viewer
firebaserules.developer
firebaserules.deployer
Google Analytics firebaseanalytics.admin
firebaseanalytics.viewer

منتجات Google Cloud

يمكنك الاطّلاع على مزيد من المعلومات عن هذه الأدوار في مستندات Google Cloud.

إذا كانت الإضافة تتفاعل مع... إسناد أحد هذه الأدوار
الإجراءات actions.Admin
actions.Viewer
Apigee apigee.analyticsAgent
apigee.analyticsEditor
apigee.analyticsViewer
apigee.apiCreator
apigee.deployer
apigee.developerAdmin
apigee.readOnlyAdmin
apigee.synchronizerManager
App Engine appengine.appAdmin
appengine.appViewer
appengine.codeViewer
appengine.deployer
appengine.serviceAdmin
AutoML automl.editor
automl.predictor
automl.viewer
BigQuery bigquery.connectionAdmin
bigquery.connectionUser
bigquery.dataEditor
bigquery.dataOwner
bigquery.dataViewer
bigquery.jobUser
bigquery.metadataViewer
bigquery.readSessionUser
bigquery.user
Cloud Bigtable bigtable.reader
bigtable.user
bigtable.viewer
الفوترة billing.viewer
محادثات Hangouts chat.owner
chat.reader
مادة عرض في السحابة الإلكترونية cloudasset.owner
cloudasset.viewer
Cloud Data Fusion datafusion.admin
datafusion.viewer
برنامج تصحيح الأخطاء في السحابة الإلكترونية clouddebugger.agent
clouddebugger.user
وظائف السحابة الإلكترونية cloudfunctions.invoker
cloudfunctions.viewer
Cloud IAP iap.admin
iap.httpsResourceAccessor
iap.settingsAdmin
iap.tunnelResourceAccessor
Cloud IoT cloudiot.deviceController
cloudiot.editor
cloudiot.provisioner
cloudiot.viewer
Stackdriver Profiler cloudprofiler.agent
cloudprofiler.user
Cloud Scheduler cloudscheduler.admin
cloudscheduler.jobRunner
cloudscheduler.viewer
أداة فحص أمان السحابة الإلكترونية cloudsecurityscanner.editor
cloudsecurityscanner.runner
cloudsecurityscanner.viewer
Cloud SQL cloudsql.client
cloudsql.editor
cloudsql.viewer
Cloud Trace cloudtrace.admin
cloudtrace.agent
cloudtrace.user
Dataflow dataflow.developer
dataflow.viewer
dataflow.worker
Dialogflow dialogflow.admin
dialogflow.client
dialogflow.reader
منع فقدان البيانات من Cloud dlp.reader
dlp.user
Error Reporting errorreporting.user
errorreporting.viewer
errorreporting.writer
Eventarc eventarc.publisher
eventarc.eventReceiver
Cloud Filestore file.editor
file.viewer
التسجيل logging.configWriter
logging.logWriter
logging.privateLogViewer
logging.viewer
محرك تعلُّم الآلة ml.developer
ml.jobOwner
ml.modelOwner
ml.modelUser
ml.operationOwner
ml.viewer
المراقبة monitoring.editor
monitoring.metricWriter
monitoring.viewer
دفاتر ملاحظات الذكاء الاصطناعي notebooks.admin
notebooks.viewer
Pub/Sub pubsub.editor
pubsub.publisher
pubsub.subscriber
pubsub.viewer
Memorystore Redis redis.editor
redis.viewer
Cloud Run run.invoker
المصدر source.reader
source.writer
Cloud Spanner spanner.databaseAdmin
spanner.databaseReader
spanner.databaseUser
spanner.viewer
Service Usage serviceusage.apiKeysMetadataViewer
خدمة نقل بيانات Cloud Storage storagetransfer.user
storagetransfer.viewer
Cloud Transcoder transcoder.admin
transcoder.viewer
Vertex AI aiplatform.user
غير ذلك identitytoolkit.admin
identitytoolkit.viewer