إعداد الوصول المناسب لإحدى الإضافات

لكي يتمكّن أحد الإضافات من تنفيذ الإجراءات المحدّدة، يمنح Firebase كل مثيل من إضافة مثبَّتة إذن وصول محدود إلى المشروع وبياناته من خلال حساب خدمة.

ما هو حساب الخدمة؟

حساب الخدمة هو نوع خاص من حسابات المستخدمين على Google. وهو يمثّل مستخدمًا غير بشري يمكنه إجراء طلبات معتمَدة من واجهة برمجة التطبيقات إلى خدمات Google.

أثناء تثبيت إضافة، ينشئ Firebase حساب خدمة للإضافة في المشروع. يحتوي كل مثيل مثبَّت من إضافة على حساب خدمة خاص به. إذا تم إلغاء تثبيت إحدى مثيلات الإضافة، ستحذف Firebase حساب الخدمة الخاص بالإضافة.

تكون حسابات الخدمة التي تم إنشاؤها للإضافات بالتنسيق التالي:

ext-extension-instance-id@project-id.iam.gserviceaccount.com

تفرض Firebase قيودًا على إذن وصول الإضافة إلى أحد المشاريع وبياناته من خلال منح أدوار (مجموعات من الأذونات) معيّنة لحساب الخدمة الخاص بالإضافة. عند إنشاء إضافة، عليك تحديد الأدوار التي تتطلّبها الإضافة لتعمل، ثم إدراج هذه الأدوار وسبب حاجة الإضافة إليها في ملف extension.yaml (راجِع المثال في أسفل هذه الصفحة).

تحديد الأدوار التي تتطلّبها الإضافة

عند إنشاء الإضافة، عليك تحديد مستوى الوصول الذي تتطلّبه الإضافة لتعمل.

أثناء التثبيت، يطلب Firebase CLI من المستخدم قبول مستوى الوصول الذي يمنحه كل دور. إذا كانت الإضافة تطلب أدوارًا أكثر من الأدوار التي تحتاج إليها فعلاً، قد يقل احتمال تثبيتها من قِبل المستخدمين.

  1. تحديد ما إذا كانت الإضافة تتفاعل مع منتج:

    • إذا كان الإضافة تتفاعل مع منتج، عليك منح الإضافة إذن الوصول إلى هذا المنتج.

      على سبيل المثال، إذا كانت إضافتك تكتب البيانات إلى مثيل Realtime Database، يجب أن يكون لدى إضافتك دور Realtime Database (firebasedatabase.admin تحديدًا).

    • إذا كانت الإضافة تستمع فقط إلى حدث مشغِّل من منتج، لا تحتاج الإضافة إلى دور مرتبط بهذا المنتج.

      على سبيل المثال، إذا كان الإضافة يتم تشغيلها عند الكتابة إلى مثيل Realtime Database (ولكن لا تكتب أي شيء في قاعدة البيانات)، فإنّ الإضافة لا تحتاج إلى دور Realtime Database.

  2. بعد تحديد المنتجات التي يتفاعل معها تطبيقك الإضافي (extension)، عليك تحديد الدور المطلوب لهذا التفاعل المحدّد. تقدّم بعض المنتجات أدوارًا مختلفة حسب الإجراء أو مجموعة الإجراءات التي يتم تنفيذها.

    على سبيل المثال، لنفترض أنّ الإضافة تتفاعل مع Cloud Storage حزمة. يسمح الدور storage.objectCreator للإضافة بإنشاء عنصر في حزمة Cloud Storage، ولكن لا يسمح لها بعرض العناصر أو حذفها أو الكتابة فوقها. لتمكين الإضافة من تنفيذ هذه الإجراءات الإضافية، عليك تعيين دور storage.objectAdmin بدلاً من ذلك.

راجِع القسم في أسفل هذه الصفحة للاطّلاع على جميع الأدوار المتوافقة التي يمكنك منحها لحساب خدمة الإضافة. للتعرّف على وصف كل دور والأذونات الممنوحة، يمكنك الانتقال إلى مستندات Firebase أو مستندات Google Cloud. يمكنك أيضًا البحث عن الأدوار في لوحة "إدارة الهوية وإمكانية الوصول " في وحدة تحكّم Google Cloud.

كيفية إسناد أدوار إلى إضافة

أدرِج أدوار إدارة الهوية وإمكانية الوصول المطلوبة لتعمل إضافتك في القسم roles من ملف extension.yaml.

في ما يلي مثال على إضافة تستمع إلى مسار Firebase Realtime Database محدّد. عند تشغيل الإضافة، تعدّل عنوان البريد الإلكتروني لحساب المستخدم (التفاعل مع Firebase Authentication) وترسل إشعارًا (التفاعل مع Firebase Cloud Messaging). يُرجى ملاحظة ما يلي:

  • على الرغم من أنّ الإضافة يتم تشغيلها من خلال حدث Realtime Database، لا يتم إدراج الدور firebasedatabase.admin (لا يُعدّ الاستماع تفاعلاً).
  • بما أنّ الإضافة تتفاعل مع Authentication وCloud Messaging، تتطلّب الإضافة أدوارًا للوصول إلى هذين المنتجين (firebaseauth.admin وfirebasenotifications.admin على التوالي).
# extension.yaml
...

# Roles assigned to the extension's service account by Firebase during installation
roles:
  - role: firebaseauth.admin
    reason: Required to update the email address of the user account

  - role: firebasenotifications.admin
    reason: Required to send a notification that the email address has been updated

...

في ملف extension.yaml، استخدِم الحقول التالية لتعيين دور لحساب خدمة أحد الإضافات:

الحقل النوع الوصف
role
(مطلوب) 		سلسلة اسم دور إدارة الهوية وإمكانية الوصول (IAM) الذي تحتاجه الإضافة لتعمل
reason
(مطلوب)		 سلسلة

وصف موجز لسبب حاجة الإضافة إلى إذن الوصول الذي يمنحه الدور

احرص على تقديم تفاصيل كافية لكي يتمكّن المستخدم من فهم طريقة استخدام الإضافة للدور.

resource
(اختياري)		 سلسلة

المورد الذي يجب إضافة سياسة "إدارة الهوية وإمكانية الوصول" الخاصة به إلى هذا الدور وفي حال عدم تحديدها، يتم ضبط القيمة التلقائية على projects/${project_id}.

القيمتان المسموح بهما هما projects/* وprojects/*/buckets/*.

تقليل نطاق الأدوار

يجب أن تتّبع الإضافات مبدأ الحدّ الأدنى من الأذونات المميّزة وأن تطلب فقط الوصول إلى الموارد التي تحتاج إليها. يمكنك الحدّ من نطاق وصول إحدى الإضافات باستخدام الحقل role.resource. على سبيل المثال، إذا كان يجب أن يكتب تطبيقك المصغّر عناصر في حزمة Cloud Storage، يمكنك استخدام الدور التالي:

roles:
  - role: storage.objectCreator
    reason: Needed in order to write
    resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}

يتيح ذلك للإضافة الوصول إلى الحزمة التي تحتاج إليها فقط، وليس إلى الحزم الأخرى في المشروع نفسه.

يدعم هذا الحقل المشاريع (projects/{project_id}) وحِزم التخزين (projects/{project_id}/buckets/{bucket_id}).

الأدوار المتوافقة مع الإضافات

يسرد الجدول التالي أدوار إدارة الهوية وإمكانية الوصول (IAM) المتوافقة مع التفاعل مع منتجات Firebase. معظم الأدوار في هذا الجدول هي أدوار على مستوى منتج Firebase، ولكن تتم إدارة بعضها مباشرةً من خلال Google Cloud (تحديدًا، Cloud Firestore و Cloud Storage).

منتجات Firebase

إذا كان التفاعل بين الإضافة و... إسناد أحد الأدوار التالية...
Cloud Firestore datastore.importExportAdmin
datastore.indexAdmin
datastore.owner
datastore.user
datastore.viewer
Cloud Storage for Firebase storage.admin
storage.objectAdmin
storage.objectCreator
storage.objectViewer
Firebase App Distribution firebaseappdistro.admin
firebaseappdistro.viewer
Firebase Authentication firebaseauth.admin
firebaseauth.viewer
Firebase A/B Testing firebaseabt.admin
firebaseabt.viewer
Firebase Cloud Messaging firebasenotifications.admin
firebasenotifications.viewer
Firebase Crashlytics firebasecrashlytics.admin
firebasecrashlytics.viewer
Firebase Hosting firebasehosting.admin
firebasehosting.viewer
Firebase In-App Messaging firebaseinappmessaging.admin
firebaseinappmessaging.viewer
Firebase ML firebaseml.admin
firebaseml.viewer
Firebase Performance Monitoring firebaseperformance.viewer
firebaseperformance.reader
firebaseperformance.writer
Firebase Realtime Database firebasedatabase.admin
firebasedatabase.viewer
قواعد الأمان firebaserules.viewer
firebaserules.developer
firebaserules.deployer
Google Analytics firebaseanalytics.admin
firebaseanalytics.viewer

منتجات Google Cloud

يمكنك التعرّف على هذه الأدوار في مستندات Google Cloud.

إذا كان التفاعل بين الإضافة و... إسناد أحد الأدوار التالية...
الإجراءات actions.Admin
actions.Viewer
Apigee apigee.analyticsAgent
apigee.analyticsEditor
apigee.analyticsViewer
apigee.apiCreator
apigee.deployer
apigee.developerAdmin
apigee.readOnlyAdmin
apigee.synchronizerManager
App Engine appengine.appAdmin
appengine.appViewer
appengine.codeViewer
appengine.deployer
appengine.serviceAdmin
AutoML automl.editor
automl.predictor
automl.viewer
BigQuery bigquery.connectionAdmin
bigquery.connectionUser
bigquery.dataEditor
bigquery.dataOwner
bigquery.dataViewer
bigquery.jobUser
bigquery.metadataViewer
bigquery.readSessionUser
bigquery.user
Cloud Bigtable bigtable.reader
bigtable.user
bigtable.viewer
الفوترة billing.viewer
محادثات Hangouts chat.owner
chat.reader
أصل Cloud cloudasset.owner
cloudasset.viewer
Cloud Data Fusion datafusion.admin
datafusion.viewer
برنامج تصحيح الأخطاء في السحابة الإلكترونية clouddebugger.agent
clouddebugger.user
وظائف السحابة الإلكترونية cloudfunctions.invoker
cloudfunctions.viewer
Cloud IAP iap.admin
iap.httpsResourceAccessor
iap.settingsAdmin
iap.tunnelResourceAccessor
Cloud IoT cloudiot.deviceController
cloudiot.editor
cloudiot.provisioner
cloudiot.viewer
Stackdriver Profiler cloudprofiler.agent
cloudprofiler.user
Cloud Scheduler cloudscheduler.admin
cloudscheduler.jobRunner
cloudscheduler.viewer
Cloud Security Scanner cloudsecurityscanner.editor
cloudsecurityscanner.runner
cloudsecurityscanner.viewer
Cloud SQL cloudsql.client
cloudsql.editor
cloudsql.viewer
Cloud Trace cloudtrace.admin
cloudtrace.agent
cloudtrace.user
Dataflow dataflow.developer
dataflow.viewer
dataflow.worker
Dialogflow dialogflow.admin
dialogflow.client
dialogflow.reader
منع فقدان البيانات من Cloud dlp.reader
dlp.user
Error Reporting errorreporting.user
errorreporting.viewer
errorreporting.writer
Eventarc eventarc.publisher
eventarc.eventReceiver
Cloud Filestore file.editor
file.viewer
التسجيل logging.configWriter
logging.logWriter
logging.privateLogViewer
logging.viewer
Machine Learning Engine ml.developer
ml.jobOwner
ml.modelOwner
ml.modelUser
ml.operationOwner
ml.viewer
التتبّع monitoring.editor
monitoring.metricWriter
monitoring.viewer
AI Notebooks notebooks.admin
notebooks.viewer
Pub/Sub pubsub.editor
pubsub.publisher
pubsub.subscriber
pubsub.viewer
Memorystore Redis redis.editor
redis.viewer
Cloud Run run.invoker
المصدر source.reader
source.writer
Cloud Spanner spanner.databaseAdmin
spanner.databaseReader
spanner.databaseUser
spanner.viewer
Service Usage serviceusage.apiKeysMetadataViewer
Cloud Storage Transfer Service storagetransfer.user
storagetransfer.viewer
Cloud Transcoder transcoder.admin
transcoder.viewer
Vertex AI aiplatform.user
غير ذلك identitytoolkit.admin
identitytoolkit.viewer