إعداد الوصول المناسب لإحدى الإضافات

لكي تنفّذ الإضافة إجراءاتها المحدّدة، يمنح Firebase كل مثيل الإضافة المثبّتة إمكانية الوصول المحدود إلى المشروع وبياناته من خلال حساب الخدمة:

ما هو حساب الخدمة؟

حساب خدمة هو نوع خاص من حسابات المستخدم في Google. إنها تمثل مستخدمًا غير بشري إجراء طلبات بيانات معتمَدة من واجهة برمجة التطبيقات لخدمات Google.

أثناء تثبيت إضافة، ينشئ Firebase حساب خدمة امتداد في المشروع. لكل مثيل مثبَّت للإضافة خصائصه حساب الخدمة الخاص بك. وإذا تم إلغاء تثبيت مثيل الإضافة، يحذف Firebase حساب خدمة الإضافة.

تكون حسابات الخدمة التي تم إنشاؤها للإضافات بالتنسيق التالي:

ext-extension-instance-id@project-id.iam.gserviceaccount.com

يحدّ Firebase من إمكانية وصول الإضافة إلى المشروع وبياناته من خلال تعيين أدوار محددة (مجموعة من الأذونات) إلى حساب الخدمة التابع للإضافة. عند إنشاء إضافة، يمكنك لتحديد الأدوار التي تتطلبها الإضافة حتى تعمل، ثم إدراج هذه الأدوار وسبب احتياج إضافتك لهذه الأدوار في "extension.yaml" (اطّلع على المثال في أسفل هذه الصفحة).

تحديد الأدوار التي تتطلّبها الإضافة

عند إنشاء الإضافة، فإنك تحدد مستوى الوصول الذي الإضافة التي تتطلب أن تعمل.

أثناء التثبيت، تطلب واجهة سطر الأوامر في Firebase من المستخدم قبول مستوى الوصول الممنوح لكل دور. إذا كانت إضافتك تطلب أدوارًا أكثر من المطلوب يحتاجه بالفعل، قل احتمال تثبيت المستخدمين له.

  1. لتحديد ما إذا كانت الإضافة ستتفاعل مع أحد المنتجات:

    • إذا كانت الإضافة تتفاعل مع أحد المنتجات، عليك تقديم إمكانية وصول الإضافة إلى هذا المنتج.

      على سبيل المثال، إذا كانت الإضافة تكتب البيانات على مثيل قاعدة بيانات الوقت الفعلي، فحينئذٍ تحتاج إضافتك إلى دور في قاعدة البيانات في الوقت الفعلي (على وجه التحديد، firebasedatabase.admin).

    • إذا كانت الإضافة تستمع فقط إلى حدث يبدأ من المنتج، فإنه لا تحتاج إضافتك إلى دور مرتبط باستخدام هذا المنتج.

      على سبيل المثال، إذا كانت الإضافة يتم عرضها عند كتابة في قاعدة بيانات في الوقت الفعلي المثيل (ولكنه لا يكتب أي شيء إلى قاعدة البيانات)، فإن لا تحتاج الإضافة إلى دور في قاعدة البيانات في الوقت الفعلي.

  2. بعد تحديد المنتجات التي تتفاعل الإضافة معها، يمكنك بحاجة إلى تحديد الدور المطلوب لهذا التفاعل المحدد. بعض الإشعارات تقدم المنتجات أدوارًا مختلفة اعتمادًا على الإجراء أو مجموعة الإجراءات تنفيذها.

    على سبيل المثال، لنفترض أنّ إضافتك تتفاعل مع Cloud Storage. دُلو. سيسمح الدور storage.objectCreator للإضافة يمكنك إنشاء عنصر في حزمة Cloud Storage، ولكن هذا الدور لن يسمح لعرض العناصر أو حذفها أو استبدالها. لتفعيل الإضافة إلى لتنفيذ تلك الإجراءات الإضافية، فستحتاج إلى تعيين دور واحد (storage.objectAdmin) بدلاً من ذلك.

راجع القسم أسفل هذه الصفحة لمشاهدة جميع الأدوار المتوافقة التي يمكنك تعيينها لخدمة الإضافة الحساب. لمزيد من المعلومات عن وصف كل دور والأذونات الممنوحة له، انتقِل إلى مستندات Firebase أو مستندات Google Cloud: يمكنك أيضًا البحث عن الأدوار في وحدة تحكم Google Cloud إدارة الهوية وإمكانية الوصول لوحة المشرف:

كيفية تعيين الأدوار لإحدى الإضافات

أدرِج أدوار "إدارة الهوية وإمكانية الوصول" المطلوبة لكي تعمل الإضافة في القسم "roles". من ملف extension.yaml.

في ما يلي مثال على إضافة تستمع إلى محتوى معيّن مسار قاعدة بيانات Firebase في الوقت الفعلي. عند تشغيل الإضافة، تُحدِّث الإضافة حساب مستخدم رسالة إلكترونية (تفاعل مع مصادقة Firebase) ويتم إرسال إشعار (تفاعل) من خلال "المراسلة عبر السحابة الإلكترونية من Firebase"). لاحظ ما يلي:

  • وعلى الرغم من أن الإضافة يتم تشغيلها من حدث قاعدة بيانات في الوقت الفعلي، فإن دور firebasedatabase.admin غير مُدرَج (لا يُعدّ الاستماع التفاعل).
  • ونظرًا لأن الإضافة تتفاعل مع المصادقة وخدمة المراسلة عبر السحابة الإلكترونية، فإن أدوارًا للوصول إلى هذه المنتجات (firebaseauth.admin firebasenotifications.admin، على التوالي).
# extension.yaml
...

# Roles assigned to the extension's service account by Firebase during installation
roles:
  - role: firebaseauth.admin
    reason: Required to update the email address of the user account

  - role: firebasenotifications.admin
    reason: Required to send a notification that the email address has been updated

...

في ملف extension.yaml، استخدِم الحقول التالية لمنح دور إلى حساب خدمة الإضافة:

الحقل النوع الوصف
role
(مطلوب) 		السلسلة اسم دور إدارة الهوية وإمكانية الوصول الذي يحتاجه الإضافة التي سيتم تشغيلها
reason
(مطلوب)		 السلسلة

وصف موجز لسبب احتياج الإضافة إلى إذن الوصول ممنوح من الدور

تأكد من تقديم تفاصيل كافية حتى يتمكن المستخدم من فهم كيف تستخدم الإضافة الدور.

resource
(اختياري)		 السلسلة

سياسة إدارة الهوية وإمكانية الوصول (IAM) للمورد التي يجب إضافة هذا الدور إليها إذا تم حذفها، يتم ضبط القيمة التلقائية على projects/${project_id}.

القيمتان المسموح بإدراجهما هما projects/* وprojects/*/buckets/*.

تقليل نطاق الأدوار

يجب أن تتبع الإضافات مبدأ الامتياز الأقل وأن تطلب فقط الوصول إلى الموارد التي يحتاج إليها. يمكنك تقييد نطاق وصول الإضافة باستخدام الحقل role.resource. على سبيل المثال، إذا كانت الإضافة تحتاج إلى كتابة عناصر في حزمة Cloud Storage، يمكنك استخدام الدور التالي:

roles:
  - role: storage.objectCreator
    reason: Needed in order to write
    resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}

يتيح ذلك للإضافة الوصول إلى الحزمة التي تحتاج إليها فقط، وليس الآخرين في نفس المشروع.

يتوافق هذا الحقل مع المشاريع (projects/{project_id}). حِزم التخزين (projects/{project_id}/buckets/{bucket_id}).

الأدوار المتاحة للإضافات

يسرد الجدول التالي أدوار "إدارة الهوية وإمكانية الوصول" المتوافقة للتفاعل مع Firebase. المنتجات. معظم الأدوار في هذا الجدول الأدوار على مستوى منتج Firebase ولكن تتم إدارة بعضها مباشرةً بواسطة Google Cloud (وخصوصًا، Cloud Firestore و التخزين في السحابة الإلكترونية)

منتجات Firebase

إذا كانت الإضافة تتفاعل مع... يجب تعيين أحد هذه الأدوار...
Cloud Firestore datastore.ImportExportAdmin
datastore.indexAdmin
datastore.owner
datastore.user
datastore.viewer
التخزين في السحابة الإلكترونية لبرنامج Firebase Storage.admin
Storage.objectAdmin
Storage.objectCreator
مساحة تخزين.objectViewer
Firebase App Distribution firebaseappdistro.admin
firebaseappdistro.viewer
مصادقة Firebase firebaseauth.admin
firebaseauth.viewer
اختبار A/B من Firebase firebaseabt.admin
firebaseabt.viewer
المراسلة عبر السحابة الإلكترونية من Firebase firebasenotifications.admin
firebasenotifications.viewer
Firebase Crashlytics firebasecrashlytics.admin
firebasecrashlytics.viewer
استضافة Firebase firebasehosting.admin
firebasehosting.viewer
المراسلة داخل تطبيق Firebase firebaseinappmessaging.admin
firebaseinappmessaging.viewer
Firebase ML firebaseml.admin
firebaseml.viewer
مراقبة أداء Firebase firebaseperformance.viewer
firebaseperformance.reader
firebaseperformance.writer
قاعدة بيانات Firebase في الوقت الفعلي firebasedatabase.admin
firebasedatabase.viewer
قواعد الأمان firebaserules.viewer
firebaserules.developer
firebaserules.deployer
إحصاءات Google firebaseanalytics.admin
firebaseanalytics.viewer

منتجات Google Cloud

تعرف على هذه الأدوار في مستندات Google Cloud

إذا كانت الإضافة تتفاعل مع... يجب تعيين أحد هذه الأدوار...
الإجراءات actions.Admin
actions.Viewer
Apigee apigee.analyticsAgent
apigee.analyticsEditor
apigee.analyticsViewer
apigee.apiCreator
apigee.deployer
apigee.developerAdmin
apigee.readOnlyAdmin
apigee.synchronizerManager
App Engine appengine.appAdmin
appengine.appViewer
appengine.codeViewer
appengine.deployer
appengine.serviceAdmin
AutoML Automl.editor
Automl.predictor
automl.viewer
BigQuery bigquery.connectionAdmin
bigquery.connectionUser
bigquery.dataEditor
bigquery.dataOwner
bigquery.dataViewer
bigquery.jobUser
bigquery.metadataViewer
bigquery.readSessionUser
bigquery.user
Cloud Bigtable bigtable.reader
bigtable.user
bigtable.viewer
الفوترة billing.viewer
محادثات Hangouts chat.owner
chat.reader
مادة عرض السحابة الإلكترونية cloudasset.owner
cloudasset.viewer
Cloud Data Fusion datafusion.admin
datafusion.viewer
برنامج تصحيح الأخطاء في السحابة الإلكترونية clouddebugger.agent
clouddebugger.user
وظائف السحابة الإلكترونية cloudfunctions.invoker
cloudfunctions.viewer
الشراء من داخل تطبيق السحابة الإلكترونية iap.admin
iap.httpsResourceAccessor
iap.settingsAdmin
iap.tunnelResourceAccessor
Cloud IoT cloudiot.deviceController
cloudiot.editor
cloudiot.provisioner
cloudiot.viewer
محلّل Stackdriver cloudprofiler.agent
cloudprofiler.user
Cloud Scheduler cloudscheduler.admin
cloudscheduler.jobRunner
cloudscheduler.viewer
ماسح ضوئي لأمان السحابة الإلكترونية cloudsecurityscanner.editor
cloudsecurityscanner.runner
cloudsecurityscanner.viewer
Cloud SQL cloudsql.client
cloudsql.editor
cloudsql.viewer
Cloud Trace cloudtrace.admin
cloudtrace.agent
cloudtrace.user
Dataflow dataflow.developer
dataflow.viewer
dataflow.worker
Dialogflow Dialogflow.admin
Dialogflow.client
Dialogflow.reader
منع فقدان البيانات من Cloud dlp.reader
dlp.user
Error Reporting errorreporting.user
errorreporting.viewer
errorreporting.writer
Eventarc eventarc.publisher
eventarc.eventReceiver
Cloud Filestore ملف.محرّر
file.viewer
التسجيل تسجيل.configWriter
تسجيل.logWriter
تسجيل.privateLogViewer
تسجيل.viewer
محرك تعلُّم الآلة ml.developer
ml.jobOwner
ml.modelOwner
ml.modelUser
ml.operationOwner
ml.viewer
المراقبة مراقبة.محرّر
Monitoring.metricWriter
segmentation.viewer
دفاتر ملاحظات من إنشاء الذكاء الاصطناعي notebooks.admin
notebooks.viewer
نشر/اشتراك pubsub.editor
pubsub.publisher
pubsub.subscriber
pubsub.viewer
متجر الذاكرة Redis redis.editor
redis.viewer
Cloud Run Run.invoker
المصدر .source.reader
source.writer
Cloud Spanner spanner.databaseAdmin
spanner.databaseReader
spanner.databaseUser
spanner.viewer
Service Usage serviceusage.apiKeysMetadataViewer
خدمة النقل في Cloud Storage Storagetransfer.user
Storagetransfer.viewer
محوّل ترميز السحابة الإلكترونية transcoder.admin
transcoder.viewer
Vertex AI aiplatform.user
غير ذلك Identity Toolkit.admin
Identity Toolkit.viewer