لكي تنفّذ الإضافة إجراءاتها المحدّدة، يمنح Firebase كل مثيل الإضافة المثبّتة إمكانية الوصول المحدود إلى المشروع وبياناته من خلال حساب الخدمة:
ما هو حساب الخدمة؟
حساب خدمة هو نوع خاص من حسابات المستخدم في Google. إنها تمثل مستخدمًا غير بشري إجراء طلبات بيانات معتمَدة من واجهة برمجة التطبيقات لخدمات Google.
أثناء تثبيت إضافة، ينشئ Firebase حساب خدمة امتداد في المشروع. لكل مثيل مثبَّت للإضافة خصائصه حساب الخدمة الخاص بك. وإذا تم إلغاء تثبيت مثيل الإضافة، يحذف Firebase حساب خدمة الإضافة.
تكون حسابات الخدمة التي تم إنشاؤها للإضافات بالتنسيق التالي:
ext-extension-instance-id@project-id.iam.gserviceaccount.com
يحدّ Firebase من إمكانية وصول الإضافة إلى المشروع وبياناته من خلال تعيين
أدوار محددة (مجموعة من الأذونات)
إلى حساب الخدمة التابع للإضافة. عند إنشاء إضافة، يمكنك
لتحديد الأدوار التي تتطلبها الإضافة حتى تعمل، ثم إدراج هذه
الأدوار وسبب احتياج إضافتك لهذه الأدوار في "extension.yaml
"
(اطّلع على المثال في أسفل هذه الصفحة).
تحديد الأدوار التي تتطلّبها الإضافة
عند إنشاء الإضافة، فإنك تحدد مستوى الوصول الذي الإضافة التي تتطلب أن تعمل.
أثناء التثبيت، تطلب واجهة سطر الأوامر في Firebase من المستخدم قبول مستوى الوصول الممنوح لكل دور. إذا كانت إضافتك تطلب أدوارًا أكثر من المطلوب يحتاجه بالفعل، قل احتمال تثبيت المستخدمين له.
لتحديد ما إذا كانت الإضافة ستتفاعل مع أحد المنتجات:
إذا كانت الإضافة تتفاعل مع أحد المنتجات، عليك تقديم إمكانية وصول الإضافة إلى هذا المنتج.
على سبيل المثال، إذا كانت الإضافة تكتب البيانات على مثيل قاعدة بيانات الوقت الفعلي، فحينئذٍ تحتاج إضافتك إلى دور في قاعدة البيانات في الوقت الفعلي (على وجه التحديد،
firebasedatabase.admin
).إذا كانت الإضافة تستمع فقط إلى حدث يبدأ من المنتج، فإنه لا تحتاج إضافتك إلى دور مرتبط باستخدام هذا المنتج.
على سبيل المثال، إذا كانت الإضافة يتم عرضها عند كتابة في قاعدة بيانات في الوقت الفعلي المثيل (ولكنه لا يكتب أي شيء إلى قاعدة البيانات)، فإن لا تحتاج الإضافة إلى دور في قاعدة البيانات في الوقت الفعلي.
بعد تحديد المنتجات التي تتفاعل الإضافة معها، يمكنك بحاجة إلى تحديد الدور المطلوب لهذا التفاعل المحدد. بعض الإشعارات تقدم المنتجات أدوارًا مختلفة اعتمادًا على الإجراء أو مجموعة الإجراءات تنفيذها.
على سبيل المثال، لنفترض أنّ إضافتك تتفاعل مع Cloud Storage. دُلو. سيسمح الدور
storage.objectCreator
للإضافة يمكنك إنشاء عنصر في حزمة Cloud Storage، ولكن هذا الدور لن يسمح لعرض العناصر أو حذفها أو استبدالها. لتفعيل الإضافة إلى لتنفيذ تلك الإجراءات الإضافية، فستحتاج إلى تعيين دور واحد (storage.objectAdmin
) بدلاً من ذلك.
راجع القسم أسفل هذه الصفحة لمشاهدة جميع الأدوار المتوافقة التي يمكنك تعيينها لخدمة الإضافة الحساب. لمزيد من المعلومات عن وصف كل دور والأذونات الممنوحة له، انتقِل إلى مستندات Firebase أو مستندات Google Cloud: يمكنك أيضًا البحث عن الأدوار في وحدة تحكم Google Cloud إدارة الهوية وإمكانية الوصول لوحة المشرف:
كيفية تعيين الأدوار لإحدى الإضافات
أدرِج أدوار "إدارة الهوية وإمكانية الوصول" المطلوبة لكي تعمل الإضافة في القسم "roles
".
من ملف extension.yaml
.
في ما يلي مثال على إضافة تستمع إلى محتوى معيّن مسار قاعدة بيانات Firebase في الوقت الفعلي. عند تشغيل الإضافة، تُحدِّث الإضافة حساب مستخدم رسالة إلكترونية (تفاعل مع مصادقة Firebase) ويتم إرسال إشعار (تفاعل) من خلال "المراسلة عبر السحابة الإلكترونية من Firebase"). لاحظ ما يلي:
- وعلى الرغم من أن الإضافة يتم تشغيلها من حدث قاعدة بيانات في الوقت الفعلي، فإن
دور
firebasedatabase.admin
غير مُدرَج (لا يُعدّ الاستماع التفاعل). - ونظرًا لأن الإضافة تتفاعل مع المصادقة وخدمة المراسلة عبر السحابة الإلكترونية، فإن
أدوارًا للوصول إلى هذه المنتجات (
firebaseauth.admin
firebasenotifications.admin
، على التوالي).
# extension.yaml
...
# Roles assigned to the extension's service account by Firebase during installation
roles:
- role: firebaseauth.admin
reason: Required to update the email address of the user account
- role: firebasenotifications.admin
reason: Required to send a notification that the email address has been updated
...
في ملف extension.yaml
، استخدِم الحقول التالية لمنح دور إلى
حساب خدمة الإضافة:
الحقل | النوع | الوصف |
---|---|---|
role (مطلوب) |
السلسلة | اسم دور إدارة الهوية وإمكانية الوصول الذي يحتاجه الإضافة التي سيتم تشغيلها |
reason (مطلوب) |
السلسلة |
وصف موجز لسبب احتياج الإضافة إلى إذن الوصول ممنوح من الدور تأكد من تقديم تفاصيل كافية حتى يتمكن المستخدم من فهم كيف تستخدم الإضافة الدور. |
resource (اختياري) |
السلسلة |
سياسة إدارة الهوية وإمكانية الوصول (IAM) للمورد التي يجب إضافة هذا الدور إليها إذا تم حذفها،
يتم ضبط القيمة التلقائية على
القيمتان المسموح بإدراجهما هما |
تقليل نطاق الأدوار
يجب أن تتبع الإضافات مبدأ الامتياز الأقل وأن تطلب فقط
الوصول إلى الموارد التي يحتاج إليها.
يمكنك تقييد نطاق وصول الإضافة باستخدام الحقل role.resource
.
على سبيل المثال، إذا كانت الإضافة تحتاج إلى كتابة عناصر في حزمة Cloud Storage،
يمكنك استخدام الدور التالي:
roles:
- role: storage.objectCreator
reason: Needed in order to write
resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}
يتيح ذلك للإضافة الوصول إلى الحزمة التي تحتاج إليها فقط، وليس الآخرين في نفس المشروع.
يتوافق هذا الحقل مع المشاريع (projects/{project_id}
).
حِزم التخزين (projects/{project_id}/buckets/{bucket_id}
).
الأدوار المتاحة للإضافات
يسرد الجدول التالي أدوار "إدارة الهوية وإمكانية الوصول" المتوافقة للتفاعل مع Firebase. المنتجات. معظم الأدوار في هذا الجدول الأدوار على مستوى منتج Firebase ولكن تتم إدارة بعضها مباشرةً بواسطة Google Cloud (وخصوصًا، Cloud Firestore و التخزين في السحابة الإلكترونية)
منتجات Firebase
إذا كانت الإضافة تتفاعل مع... | يجب تعيين أحد هذه الأدوار... |
---|---|
Cloud Firestore |
datastore.ImportExportAdmin datastore.indexAdmin datastore.owner datastore.user datastore.viewer |
التخزين في السحابة الإلكترونية لبرنامج Firebase |
Storage.admin Storage.objectAdmin Storage.objectCreator مساحة تخزين.objectViewer |
Firebase App Distribution |
firebaseappdistro.admin firebaseappdistro.viewer |
مصادقة Firebase |
firebaseauth.admin firebaseauth.viewer |
اختبار A/B من Firebase |
firebaseabt.admin firebaseabt.viewer |
المراسلة عبر السحابة الإلكترونية من Firebase |
firebasenotifications.admin firebasenotifications.viewer |
Firebase Crashlytics |
firebasecrashlytics.admin firebasecrashlytics.viewer |
استضافة Firebase |
firebasehosting.admin firebasehosting.viewer |
المراسلة داخل تطبيق Firebase |
firebaseinappmessaging.admin firebaseinappmessaging.viewer |
Firebase ML |
firebaseml.admin firebaseml.viewer |
مراقبة أداء Firebase |
firebaseperformance.viewer firebaseperformance.reader firebaseperformance.writer |
قاعدة بيانات Firebase في الوقت الفعلي |
firebasedatabase.admin firebasedatabase.viewer |
قواعد الأمان |
firebaserules.viewer firebaserules.developer firebaserules.deployer |
إحصاءات Google |
firebaseanalytics.admin firebaseanalytics.viewer |
منتجات Google Cloud
تعرف على هذه الأدوار في مستندات Google Cloud
إذا كانت الإضافة تتفاعل مع... | يجب تعيين أحد هذه الأدوار... |
---|---|
الإجراءات |
actions.Admin actions.Viewer |
Apigee |
apigee.analyticsAgent apigee.analyticsEditor apigee.analyticsViewer apigee.apiCreator apigee.deployer apigee.developerAdmin apigee.readOnlyAdmin apigee.synchronizerManager |
App Engine |
appengine.appAdmin appengine.appViewer appengine.codeViewer appengine.deployer appengine.serviceAdmin |
AutoML |
Automl.editor Automl.predictor automl.viewer |
BigQuery |
bigquery.connectionAdmin bigquery.connectionUser bigquery.dataEditor bigquery.dataOwner bigquery.dataViewer bigquery.jobUser bigquery.metadataViewer bigquery.readSessionUser bigquery.user |
Cloud Bigtable |
bigtable.reader bigtable.user bigtable.viewer |
الفوترة | billing.viewer |
محادثات Hangouts |
chat.owner chat.reader |
مادة عرض السحابة الإلكترونية |
cloudasset.owner cloudasset.viewer |
Cloud Data Fusion |
datafusion.admin datafusion.viewer |
برنامج تصحيح الأخطاء في السحابة الإلكترونية |
clouddebugger.agent clouddebugger.user |
وظائف السحابة الإلكترونية |
cloudfunctions.invoker cloudfunctions.viewer |
الشراء من داخل تطبيق السحابة الإلكترونية |
iap.admin iap.httpsResourceAccessor iap.settingsAdmin iap.tunnelResourceAccessor |
Cloud IoT |
cloudiot.deviceController cloudiot.editor cloudiot.provisioner cloudiot.viewer |
محلّل Stackdriver |
cloudprofiler.agent cloudprofiler.user |
Cloud Scheduler |
cloudscheduler.admin cloudscheduler.jobRunner cloudscheduler.viewer |
ماسح ضوئي لأمان السحابة الإلكترونية |
cloudsecurityscanner.editor cloudsecurityscanner.runner cloudsecurityscanner.viewer |
Cloud SQL |
cloudsql.client cloudsql.editor cloudsql.viewer |
Cloud Trace |
cloudtrace.admin cloudtrace.agent cloudtrace.user |
Dataflow |
dataflow.developer dataflow.viewer dataflow.worker |
Dialogflow |
Dialogflow.admin Dialogflow.client Dialogflow.reader |
منع فقدان البيانات من Cloud |
dlp.reader dlp.user |
Error Reporting |
errorreporting.user errorreporting.viewer errorreporting.writer |
Eventarc |
eventarc.publisher eventarc.eventReceiver |
Cloud Filestore |
ملف.محرّر file.viewer |
التسجيل |
تسجيل.configWriter تسجيل.logWriter تسجيل.privateLogViewer تسجيل.viewer |
محرك تعلُّم الآلة |
ml.developer ml.jobOwner ml.modelOwner ml.modelUser ml.operationOwner ml.viewer |
المراقبة |
مراقبة.محرّر Monitoring.metricWriter segmentation.viewer |
دفاتر ملاحظات من إنشاء الذكاء الاصطناعي |
notebooks.admin notebooks.viewer |
نشر/اشتراك |
pubsub.editor pubsub.publisher pubsub.subscriber pubsub.viewer |
متجر الذاكرة Redis |
redis.editor redis.viewer |
Cloud Run | Run.invoker |
المصدر |
.source.reader source.writer |
Cloud Spanner |
spanner.databaseAdmin spanner.databaseReader spanner.databaseUser spanner.viewer |
Service Usage | serviceusage.apiKeysMetadataViewer |
خدمة النقل في Cloud Storage |
Storagetransfer.user Storagetransfer.viewer |
محوّل ترميز السحابة الإلكترونية |
transcoder.admin transcoder.viewer |
Vertex AI | aiplatform.user |
غير ذلك |
Identity Toolkit.admin Identity Toolkit.viewer |