확장 프로그램에 대한 적절한 액세스 권한 설정

Firebase는 확장 프로그램이 지정된 작업을 수행할 수 있도록 서비스 계정을 통해 설치된 확장 프로그램의 각 인스턴스에 프로젝트 및 데이터에 대한 제한된 액세스 권한을 부여합니다.

서비스 계정이란?

서비스 계정은 특별한 유형의 Google 사용자 계정입니다. Google 서비스에 승인된 API 호출을 보낼 수 있는 사람이 아닌 사용자를 나타냅니다.

확장 프로그램을 설치하는 동안 Firebase는 프로젝트에 확장 프로그램의 서비스 계정을 만듭니다. 설치된 각 확장 프로그램 인스턴스에는 자체 서비스 계정이 있습니다. 확장 프로그램 인스턴스가 제거되면 Firebase는 해당 확장 프로그램의 서비스 계정을 삭제합니다.

확장 프로그램용으로 생성된 서비스 계정의 형식은 다음과 같습니다.

ext-extension-instance-id@project-id.iam.gserviceaccount.com

Firebase는 확장 프로그램의 서비스 계정에 특정 역할(권한 번들)을 할당하여 프로젝트 및 데이터에 대한 확장 프로그램의 액세스를 제한합니다. 확장 프로그램을 빌드할 때 확장 프로그램이 작동하는 데 필요한 역할을 결정한 다음, 이러한 역할과 확장 프로그램에 이러한 역할이 필요한 이유를 extension.yaml 파일에 나열하세요(이 페이지 하단의 예시 참조).

확장 프로그램에 필요한 역할 결정

확장 프로그램을 빌드할 때 확장 프로그램이 작동하는 데 필요한 액세스 수준을 결정합니다.

설치 중에 Firebase CLI는 사용자에게 각 역할이 부여한 액세스 수준을 수락하라는 메시지를 표시합니다. 확장 프로그램이 실제로 필요한 것보다 더 많은 역할을 요청하면 사용자가 설치할 가능성이 낮아질 수 있습니다.

  1. 확장 프로그램이 제품과 상호작용하는지 확인합니다.

    • 확장 프로그램이 제품과 상호작용하는 경우 확장 프로그램에 해당 제품에 대한 액세스 권한을 부여해야 합니다.

      예를 들어 확장 프로그램이 Realtime Database 인스턴스에 데이터를 쓰는 경우 확장 프로그램에 Realtime Database 역할(특히 firebasedatabase.admin)이 필요합니다.

    • 확장 프로그램이 제품의 트리거 이벤트를 수신 대기하기만 하는 경우 확장 프로그램에 해당 제품과 연결된 역할이 필요하지 않습니다.

      예를 들어 확장 프로그램이 Realtime Database 인스턴스에 쓰기 작업을 트리거하지만 데이터베이스에 아무것도 쓰지 않는 경우 확장 프로그램에는 Realtime Database 역할이 필요하지 않습니다.

  2. 확장 프로그램이 상호작용하는 제품을 확인한 후에는 해당 상호작용에 필요한 역할을 결정해야 합니다. 일부 제품은 수행되는 작업 또는 작업 세트에 따라 다른 역할을 제공합니다.

    예를 들어 확장 프로그램이 Cloud Storage 버킷과 상호작용한다고 가정해 보겠습니다. storage.objectCreator 역할은 확장 프로그램이 Cloud Storage 버킷에 객체를 create할 수 있는 권한을 부여하지만, 객체를 보거나 삭제하거나 덮어쓸 수 있는 권한을 부여하지는 않습니다. 확장 프로그램이 이러한 추가 작업을 수행할 수 있도록 하려면 대신 storage.objectAdmin 역할을 할당해야 합니다.

확장 프로그램의 서비스 계정을 할당할 수 있는 모든 지원 역할을 보려면 이 페이지 하단의 섹션을 참조하세요. 각 역할에 대한 설명과 부여되는 권한에 대해 알아보려면 Firebase 문서 또는 Google Cloud 문서를 참조하세요. Google Cloud 콘솔의 IAM 및 관리자 패널에서도 역할을 확인할 수 있습니다.

확장 프로그램에 역할을 할당하는 방법

확장 프로그램이 작동하는 데 필요한 IAM 역할을 extension.yaml 파일의 roles 섹션에 나열합니다.

다음은 지정된 Firebase Realtime Database 경로를 수신 대기하는 확장 프로그램의 예시입니다. 확장 프로그램이 트리거되면 사용자 계정 이메일을 업데이트하고(Firebase Authentication과의 상호작용) 알림을 전송합니다(Firebase Cloud Messaging과의 상호작용). 다음 사항에 유의하세요.

  • 확장 프로그램이 Realtime Database 이벤트로 인해 트리거되더라도 firebasedatabase.admin 역할은 나열되지 않습니다(수신 대기는 상호작용으로 간주되지 않음).
  • 확장 프로그램이 Authentication 및 Cloud Messaging과 상호작용하므로 해당 제품에 액세스할 수 있는 권한을 부여하는 역할(각각 firebaseauth.admin 및 firebasenotifications.admin)이 필요합니다.
# extension.yaml
...

# Roles assigned to the extension's service account by Firebase during installation
roles:
  - role: firebaseauth.admin
    reason: Required to update the email address of the user account

  - role: firebasenotifications.admin
    reason: Required to send a notification that the email address has been updated

...

extension.yaml 파일에서 다음 필드를 사용하여 확장 프로그램의 서비스 계정에 역할을 할당합니다.

필드 유형 설명
role
(필수) 		문자열 확장 프로그램이 작동하는 데 필요한 IAM 역할의 이름
reason
(필수)		 문자열

확장 프로그램에 이 역할이 부여하는 액세스 권한이 필요한 이유에 대한 간략한 설명

사용자가 확장 프로그램이 역할을 사용하는 방법을 이해할 수 있도록 충분한 세부 정보를 제공해야 합니다.

resource
(선택사항)		 문자열

이 역할을 추가해야 하는 리소스의 IAM 정책. 생략할 경우 기본값은 projects/${project_id}입니다.

지원되는 값은 projects/* 및 projects/*/buckets/*입니다.

역할 범위 줄이기

확장 프로그램은 최소 권한의 원칙을 따라야 하며 필요한 리소스에 대한 액세스만 요청해야 합니다. role.resource 필드를 사용하여 확장 프로그램의 액세스 범위를 제한할 수 있습니다. 예를 들어 확장 프로그램이 Cloud Storage 버킷에 객체를 작성해야 하는 경우 다음 역할을 사용할 수 있습니다.

roles:
  - role: storage.objectCreator
    reason: Needed in order to write
    resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}

이렇게 하면 확장 프로그램이 필요한 버킷에만 액세스할 수 있고 동일한 프로젝트의 다른 버킷에는 액세스할 수 없습니다.

이 필드는 프로젝트(projects/{project_id})와 스토리지 버킷(projects/{project_id}/buckets/{bucket_id})을 지원합니다.

확장 프로그램에 지원되는 역할

다음 표에는 Firebase 제품과의 상호작용에 지원되는 IAM 역할이 나와 있습니다. 이 표의 역할은 대부분 Firebase 제품 수준 역할이지만 일부 역할은 Google Cloud(즉, Cloud Firestore 및 Cloud Storage)에서 직접 관리합니다.

Firebase 제품

확장 프로그램이 다음 제품과 상호작용 하는 경우 다음 역할 중 하나를 할당
Cloud Firestore datastore.importExportAdmin
datastore.indexAdmin
datastore.owner
datastore.user
datastore.viewer
Cloud Storage for Firebase storage.admin
storage.objectAdmin
storage.objectCreator
storage.objectViewer
Firebase App Distribution firebaseappdistro.admin
firebaseappdistro.viewer
Firebase Authentication firebaseauth.admin
firebaseauth.viewer
Firebase A/B Testing firebaseabt.admin
firebaseabt.viewer
Firebase Cloud Messaging firebasenotifications.admin
firebasenotifications.viewer
Firebase Crashlytics firebasecrashlytics.admin
firebasecrashlytics.viewer
Firebase Hosting firebasehosting.admin
firebasehosting.viewer
Firebase In-App Messaging firebaseinappmessaging.admin
firebaseinappmessaging.viewer
Firebase ML firebaseml.admin
firebaseml.viewer
Firebase Performance Monitoring firebaseperformance.viewer
firebaseperformance.reader
firebaseperformance.writer
Firebase Realtime Database firebasedatabase.admin
firebasedatabase.viewer
보안 규칙 firebaserules.viewer
firebaserules.developer
firebaserules.deployer
Google Analytics firebaseanalytics.admin
firebaseanalytics.viewer

Google Cloud 제품

Google Cloud 문서에서 이러한 역할에 대해 알아보세요.

확장 프로그램이 다음 제품과 상호작용 하는 경우 다음 역할 중 하나를 할당
작업 actions.Admin
actions.Viewer
Apigee apigee.analyticsAgent
apigee.analyticsEditor
apigee.analyticsViewer
apigee.apiCreator
apigee.deployer
apigee.developerAdmin
apigee.readOnlyAdmin
apigee.synchronizerManager
App Engine appengine.appAdmin
appengine.appViewer
appengine.codeViewer
appengine.deployer
appengine.serviceAdmin
AutoML automl.editor
automl.predictor
automl.viewer
BigQuery bigquery.connectionAdmin
bigquery.connectionUser
bigquery.dataEditor
bigquery.dataOwner
bigquery.dataViewer
bigquery.jobUser
bigquery.metadataViewer
bigquery.readSessionUser
bigquery.user
Cloud Bigtable bigtable.reader
bigtable.user
bigtable.viewer
결제 billing.viewer
행아웃 채팅 chat.owner
chat.reader
클라우드 애셋 cloudasset.owner
cloudasset.viewer
Cloud Data Fusion datafusion.admin
datafusion.viewer
Cloud Debugger clouddebugger.agent
clouddebugger.user
Cloud Functions cloudfunctions.invoker
cloudfunctions.viewer
Cloud IAP iap.admin
iap.httpsResourceAccessor
iap.settingsAdmin
iap.tunnelResourceAccessor
Cloud IoT cloudiot.deviceController
cloudiot.editor
cloudiot.provisioner
cloudiot.viewer
Stackdriver Profiler cloudprofiler.agent
cloudprofiler.user
Cloud Scheduler cloudscheduler.admin
cloudscheduler.jobRunner
cloudscheduler.viewer
Cloud Security Scanner cloudsecurityscanner.editor
cloudsecurityscanner.runner
cloudsecurityscanner.viewer
Cloud SQL cloudsql.client
cloudsql.editor
cloudsql.viewer
Cloud Trace cloudtrace.admin
cloudtrace.agent
cloudtrace.user
Dataflow dataflow.developer
dataflow.viewer
dataflow.worker
Dialogflow dialogflow.admin
dialogflow.client
dialogflow.reader
Cloud Data Loss Prevention dlp.reader
dlp.user
Error Reporting errorreporting.user
errorreporting.viewer
errorreporting.writer
Eventarc eventarc.publisher
eventarc.eventReceiver
Cloud Filestore file.editor
file.viewer
로깅 logging.configWriter
logging.logWriter
logging.privateLogViewer
logging.viewer
Machine Learning Engine ml.developer
ml.jobOwner
ml.modelOwner
ml.modelUser
ml.operationOwner
ml.viewer
모니터링 monitoring.editor
monitoring.metricWriter
monitoring.viewer
AI Notebooks notebooks.admin
notebooks.viewer
Pub/Sub pubsub.editor
pubsub.publisher
pubsub.subscriber
pubsub.viewer
Memorystore Redis redis.editor
redis.viewer
Cloud Run run.invoker
소스 source.reader
source.writer
Cloud Spanner spanner.databaseAdmin
spanner.databaseReader
spanner.databaseUser
spanner.viewer
서비스 사용량 serviceusage.apiKeysMetadataViewer
Cloud Storage Transfer Service storagetransfer.user
storagetransfer.viewer
Cloud 트랜스코더 transcoder.admin
transcoder.viewer
Vertex AI aiplatform.user
기타 identitytoolkit.admin
identitytoolkit.viewer