Configurare l'accesso appropriato per un'estensione

Affinché un'estensione esegua le azioni specificate, Firebase concede a ogni istanza di un'estensione installata ha limitato l'accesso al progetto e ai suoi dati tramite un account di servizio.

Che cos'è un account di servizio?

Un account di servizio è un tipo speciale di account utente Google. Rappresenta un utente non umano che può effettuare chiamate API autorizzate ai servizi Google.

Durante l'installazione di un'estensione, Firebase crea un account di servizio per nel progetto. Ogni istanza installata di un'estensione ha il proprio account di servizio. Se un'istanza di estensione viene disinstallata, Firebase elimina l'account di servizio dell'estensione.

Gli account di servizio creati per le estensioni sono nel formato:

ext-extension-instance-id@project-id.iam.gserviceaccount.com

Firebase limita l'accesso di un'estensione a un progetto e ai suoi dati assegnando ruoli specifici (set di autorizzazioni) all'account di servizio dell'estensione. Quando crei un'estensione, determinare i ruoli richiesti dall'estensione, quindi elencherai questi ruoli e il motivo per cui l'estensione richiede questi ruoli in extension.yaml (vedi l'esempio in fondo a questa pagina).

Determina i ruoli richiesti dall'estensione

Quando crei l'estensione, devi determinare il livello di accesso concesso ai tuoi per il corretto funzionamento dell'estensione.

Durante l'installazione, l'interfaccia a riga di comando di Firebase richiede all'utente di accettare il livello di accesso concesso da ciascun ruolo. Se la tua estensione richiede più ruoli le esigenze effettive degli utenti, è meno probabile che gli utenti lo installino.

  1. Determina se la tua estensione interagisce con un prodotto:

    • Se la tua estensione interagisce con un prodotto, devi fornire l'accesso dell'estensione al prodotto.

      Ad esempio, se la tua estensione scrive dati in un'istanza Realtime Database, l'estensione deve avere un ruolo Realtime Database (nello specifico, firebasedatabase.admin).

    • Se l'estensione ascolta un evento di attivazione da un , l'estensione non necessita di un ruolo associato con quel prodotto.

      Ad esempio, se la tua estensione si attiva in seguito a una scrittura in un Realtime Database dell'istanza (ma non scrive nulla nel database), l'estensione non richiede un ruolo Realtime Database.

  2. Dopo aver stabilito con quali prodotti la tua estensione interagisce, puoi devi decidere quale ruolo è necessario per quella specifica interazione. Alcuni prodotti offrono ruoli diversi a seconda dell'azione o dell'insieme di azioni effettuate.

    Ad esempio, supponiamo che la tua estensione interagisca con un Cloud Storage di sincronizzare la directory di una VM con un bucket. Il ruolo storage.objectCreator consente all'estensione di creare un oggetto in un bucket Cloud Storage, ma questo ruolo non consente per visualizzare, eliminare o sovrascrivere gli oggetti. Per attivare l'estensione eseguire queste azioni aggiuntive, devi assegnare storage.objectAdmin.

Consulta la sezione in fondo a questa pagina per visualizzare tutte le ruoli supportati che puoi assegnare al servizio della tua estensione . Per informazioni sulla descrizione e sulle autorizzazioni concesse a ciascun ruolo, consulta la documentazione di Firebase o la documentazione di Google Cloud. Puoi anche cercare i ruoli nel riquadro IAM e amministrazione della console Google Cloud.

Come assegnare ruoli a un'estensione

Elenca i ruoli IAM necessari per il funzionamento dell'estensione nella sezione roles del tuo file extension.yaml.

Di seguito è riportato un esempio di un'estensione che ascolta un determinato Percorso Firebase Realtime Database. Quando viene attivata, l'estensione aggiorna un account utente invia un'email (interazione con Firebase Authentication) e invia una notifica (interazione con Firebase Cloud Messaging). Tieni presente quanto segue:

  • Anche se l'estensione si attiva da un evento Realtime Database, Il ruolo firebasedatabase.admin non è elencato (l'ascolto non è considerato un ).
  • Poiché l'estensione interagisce con Authentication e Cloud Messaging, l'estensione richiede dei ruoli per accedere a questi prodotti (firebaseauth.admin e firebasenotifications.admin).
# extension.yaml
...

# Roles assigned to the extension's service account by Firebase during installation
roles:
  - role: firebaseauth.admin
    reason: Required to update the email address of the user account

  - role: firebasenotifications.admin
    reason: Required to send a notification that the email address has been updated

...

Nel file extension.yaml, utilizza i seguenti campi per assegnare un ruolo a un Account di servizio dell'estensione:

Campo Tipo Descrizione
role
(obbligatorio) 		stringa Nome del ruolo IAM richiesto dall'amministratore per far funzionare l'estensione
reason
(obbligatorio)		 stringa

Breve descrizione del motivo per cui l'estensione ha bisogno dell'accesso concesso dal ruolo

Fornisci dettagli sufficienti affinché un utente possa capire come l'estensione utilizza il ruolo.

resource
(facoltativo)		 stringa

Il criterio IAM della risorsa a cui deve essere aggiunto questo ruolo. Se omesso, il valore predefinito è projects/${project_id}.

I valori supportati sono projects/* e projects/*/buckets/*.

Riduci l'ambito dei ruoli

Le estensioni devono seguire il principio del privilegio minimo e richiedere solo l'accesso alle risorse di cui hanno bisogno. Puoi limitare l'ambito di accesso di un'estensione utilizzando il campo role.resource. Ad esempio, se l'estensione deve scrivere oggetti in un bucket Cloud Storage, puoi utilizzare il seguente ruolo:

roles:
  - role: storage.objectCreator
    reason: Needed in order to write
    resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}

L'estensione può accedere solo al bucket di cui ha bisogno, e non con altri sullo stesso progetto.

Questo campo supporta i progetti (projects/{project_id}) e Bucket di archiviazione (projects/{project_id}/buckets/{bucket_id}).

Ruoli supportati per le estensioni

La tabella seguente elenca i ruoli IAM supportati per interagire con Firebase prodotti di big data e machine learning. La maggior parte dei ruoli in questa tabella Ruoli di Firebase a livello di prodotto ma alcune sono gestite direttamente da Google Cloud (nello specifico, Cloud Firestore e Cloud Storage).

Prodotti Firebase

Se l'estensione interagisce con... Assegna uno di questi ruoli...
Cloud Firestore datastore.importExportAdmin
datastore.indexAdmin
datastore.proprietario
datastore.utente
datastore.viewer
Cloud Storage for Firebase storage.admin
storage.objectAdmin
storage.objectCreator
storage.objectViewer
Firebase App Distribution firebaseappdistro.admin
firebaseappdistro.viewer
Firebase Authentication firebaseauth.admin
firebaseauth.viewer
Firebase A/B Testing firebaseabt.admin
firebaseabt.viewer
Firebase Cloud Messaging firebasenotifications.admin
firebasenotifications.viewer
Firebase Crashlytics firebasecrashlytics.admin
firebasecrashlytics.viewer
Firebase Hosting firebasehosting.admin
firebasehosting.viewer
Firebase In-App Messaging firebaseinappmessaging.admin
firebaseinappmessaging.viewer
Firebase ML firebaseml.admin
firebaseml.viewer
Firebase Performance Monitoring firebaseperformance.viewer
firebaseperformance.reader
firebaseperformance.writer
Firebase Realtime Database firebasedatabase.admin
firebasedatabase.viewer
Regole di sicurezza firebaserules.viewer
firebaserules.developer
firebaserules.deployer
Google Analytics firebaseanalytics.admin
firebaseanalytics.viewer

Prodotti Google Cloud

Scopri di più su questi ruoli nel documentazione di Google Cloud.

Se l'estensione interagisce con... Assegna uno di questi ruoli...
Azioni actions.Admin
actions.Viewer
Apigee apigee.analyticsAgent
apigee.analyticsEditor
apigee.analyticsViewer
apigee.apiCreator
apigee.deployer
apigee.developerAdmin
apigee.readOnlyAdmin
apigee.synchronizerManager
App Engine appengine.appAdmin
appengine.appViewer
appengine.codeViewer
appengine.deployer
appengine.serviceAdmin
AutoML automl.editor
automl.predictor
automl.viewer
BigQuery bigquery.connectionAdmin
bigquery.connectionUser
bigquery.dataEditor
bigquery.dataProprietario
bigquery.dataViewer
bigquery.jobUser
bigquery.metadataViewer
bigquery.readSessionUser
utente.bigquery.
Cloud Bigtable bigtable.reader
bigtable.user
bigtable.viewer
Fatturazione billing.viewer
Chat di Hangouts chat.proprietario
chat.reader
Asset cloud cloudasset.owner
cloudasset.viewer
Cloud Data Fusion datafusion.admin
datafusion.viewer
Cloud Debugger clouddebugger.agent
utente
clouddebugger
Cloud Functions cloudfunctions.invoker
cloudfunctions.viewer
Cloud IAP iap.admin
iap.httpsResourceAccessor
iap.settingsAdmin
iap.tunnelResourceAccessor
Cloud IoT cloudiot.deviceController
editor.cloudiot
cloudiot.provisioner
cloudiot.viewer
Stackdriver Profiler cloudprofiler.agent
cloudprofiler.user
Cloud Scheduler cloudscheduler.admin
cloudscheduler.jobRunner
cloudscheduler.viewer
Cloud Security Scanner cloudsecurityscanner.editor
cloudsecurityscanner.runner
cloudsecurityscanner.viewer
Cloud SQL cloudsql.client
cloudsql.editor
cloudsql.viewer
Cloud Trace cloudtrace.admin
cloudtrace.agent
cloudtrace.utente
Dataflow dataflow.developer
dataflow.viewer
dataflow.worker
Dialogflow dialogflow.admin
dialogflow.client
dialogflow.reader
Cloud Data Loss Prevention lettore.dlp
dlp.utente
Error Reporting errorreporting.user
errorreporting.viewer
errorreporting.writer
Eventarc eventarc.publisher
eventarc.eventReceiver
Cloud Filestore editor.file
file.viewer
Logging logging.configWriter
logging.logWriter
logging.privateLogViewer
logging.viewer
Machine Learning Engine ml.developer
ml.jobOwner
ml.modelOwner
ml.modelUser
ml.operationOwner
ML.viewer
Monitoraggio monitoraggio.editor
monitoraggio.metricWriter
monitoraggio.viewer
AI Notebooks notebooks.admin
notebooks.viewer
Pub/Sub pubsub.editor
pubsub.publisher
pubsub.subscriber
pubsub.viewer
Memorystore Redis redis.editor
redis.viewer
Cloud Run run.invoker
Origine lettore.fonte
source.writer
Cloud Spanner spanner.databaseAdmin
spanner.databaseLettore
spanner.databaseUtente
spanner.viewer
Utilizzo dei servizi serviceusage.apiKeysMetadataViewer
Cloud Storage Transfer Service storagetransfer.user
storagetransfer.viewer
Transcodificatore Cloud transcodificar.amministratore
transcodificar.viewer
Vertex AI aiplatform.user
Altro identitytoolkit.admin
identitytoolkit.viewer