Konfigurowanie odpowiedniego dostępu do rozszerzenia

Aby rozszerzenie wykonało określone działania, Firebase przyznaje uprawnienia każdej instancji zainstalowanego rozszerzenia ma ograniczony dostęp do projektu i jego danych za pomocą konto usługi.

Co to jest konto usługi?

konta usługi, to specjalny typ konta użytkownika Google. Przedstawia on użytkownika, który nie jest człowiekiem, może wykonywać autoryzowane wywołania interfejsu API usług Google.

Podczas instalowania rozszerzenia Firebase tworzy konto usługi dla w projekcie. Każda zainstalowana instancja rozszerzenia ma swoje własne konta usługi. Jeśli instancja rozszerzenia zostanie odinstalowana, Firebase usunie konta usługi rozszerzenia.

Konta usługi utworzone na potrzeby rozszerzeń mają format:

ext-extension-instance-id@project-id.iam.gserviceaccount.com

Firebase ogranicza dostęp rozszerzenia do projektu i jego danych przez przypisanie konkretnych ról (pakietów uprawnień), z kontem usługi rozszerzenia. Tworząc rozszerzenie, określonych ról wymaganych do działania rozszerzenia, należy role i powód, dla którego rozszerzenie wymaga tych ról w extension.yaml. (zobacz przykład u dołu tej strony).

Określ role wymagane przez rozszerzenie

Tworząc rozszerzenie, określasz poziom dostępu, jaki ma rozszerzenie wymaga działania.

Podczas instalacji interfejs wiersza poleceń Firebase prosi użytkownika o zaakceptowanie poziom dostępu przyznany przez daną rolę. Jeśli rozszerzenie wymaga większej liczby ról użytkownicy mogą być mniej skłonni do jej zainstalowania.

  1. Określ, czy rozszerzenie współpracuje z produktem:

    • Jeśli rozszerzenie wchodzi w interakcję z produktem, musisz określić dostęp rozszerzenia do danej usługi.

      Jeśli na przykład rozszerzenie zapisuje dane w instancji Bazy danych czasu rzeczywistego, rozszerzenie wymaga roli Bazy danych czasu rzeczywistego (w szczególności firebasedatabase.admin).

    • Jeśli rozszerzenie nasłuchuje zdarzenia aktywującego , rozszerzenie nie musi mieć przypisanej roli z danym produktem.

      Jeśli na przykład rozszerzenie uruchamia się przy zapisie w bazie danych czasu rzeczywistego (ale nie zapisuje niczego w bazie danych), rozszerzenie nie wymaga roli Baza danych czasu rzeczywistego.

  2. Po ustaleniu, z którymi produktami wchodzi w interakcje z rozszerzeniem, określić, jaka rola jest wymagana w przypadku danej interakcji. Niektóre produkty oferują różne role w zależności od działania lub zestawu działań przeprowadzonych przez nas działań.

    Załóżmy, że rozszerzenie współpracuje z Cloud Storage zasobnika. Rola w usłudze storage.objectCreator umożliwi rozszerzeniu utworzyć obiekt w zasobniku Cloud Storage, ale ta rola nie zezwala na dostęp , aby wyświetlać, usuwać lub zastępować obiekty. Aby włączyć rozszerzenie tych dodatkowych działań, musisz przypisać Zamiast tego rolę: storage.objectAdmin.

Zapoznaj się z sekcją u dołu tej strony, aby poznać wszystkie obsługiwanych ról, które możesz przypisać do usługi rozszerzenia koncie. Więcej informacji o opisie każdej roli i przyznanych uprawnieniach znajdziesz na stronie dokumentację Firebase lub dokumentacji Google Cloud. Możesz też wyszukać role w konsoli Google Cloud Uprawnienia panelu administracyjnym.

Jak przypisać role do rozszerzenia

W sekcji roles wymień role uprawnień wymagane do działania rozszerzenia z pliku extension.yaml.

Oto przykład rozszerzenia, które nasłuchuje określonego Ścieżka do Bazy danych czasu rzeczywistego Firebase. Po uruchomieniu rozszerzenie aktualizuje konto użytkownika e-maila (interakcja z Uwierzytelnianiem Firebase) i wysyłanie powiadomienia (interakcja). dzięki Komunikacji w chmurze Firebase (FCM). Uwaga:

  • Mimo że rozszerzenie jest wywoływane przez zdarzenie Bazy danych czasu rzeczywistego, tag Rola firebasedatabase.admin nie jest wymieniona (słuchanie nie jest uznawane za interakcja).
  • Rozszerzenie działa z Uwierzytelnianiem i Komunikacją w chmurze, dlatego wymaga uprawnień dostępu do tych usług (firebaseauth.admin i firebasenotifications.admin).
# extension.yaml
...

# Roles assigned to the extension's service account by Firebase during installation
roles:
  - role: firebaseauth.admin
    reason: Required to update the email address of the user account

  - role: firebasenotifications.admin
    reason: Required to send a notification that the email address has been updated

...

W pliku extension.yaml użyj tych pól, aby przypisać rolę użytkownikowi konto usługi rozszerzenia:

Pole Typ Opis
role
(wymagane) 		ciąg znaków Nazwa roli uprawnień wymaganej przez rozszerzenie do działania
reason
(wymagane)		 ciąg znaków

Krótki opis powodu, dla którego rozszerzenie potrzebuje dostępu przyznane przez rolę

Podaj wystarczającą ilość szczegółów, aby użytkownik wiedział, jak rozszerzenie używa tej roli.

resource
(opcjonalnie)		 ciąg znaków

Do którego zasobu zasada uprawnień należy dodać tę rolę. Jeśli zostanie pominięty, domyślna wartość to projects/${project_id}.

Obsługiwane wartości to projects/* i projects/*/buckets/*.

Ogranicz zakres ról

Rozszerzenia powinny być zgodne z zasadą jak najmniejszych uprawnień i powinny być wysyłane tylko dostęp do potrzebnych zasobów. Zakres dostępu rozszerzenia możesz ograniczyć w polu role.resource. Jeśli na przykład rozszerzenie musi zapisywać obiekty w zasobniku Cloud Storage, możesz użyć tej roli:

roles:
  - role: storage.objectCreator
    reason: Needed in order to write
    resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}

Dzięki temu rozszerzenie ma dostęp tylko do potrzebnego zasobnika. a nie innych w tym samym projekcie.

To pole obsługuje projekty (projects/{project_id}) i Zasobniki na dane (projects/{project_id}/buckets/{bucket_id}).

Obsługiwane role rozszerzeń

W tabeli poniżej znajdziesz obsługiwane role uprawnień umożliwiające interakcję z Firebase usług. Większość ról w tej tabeli jest Role na poziomie usługi Firebase, ale niektórymi z nich zarządza bezpośrednio Google Cloud (w szczególności Cloud Firestore oraz Cloud Storage).

Usługi Firebase

Jeśli rozszerzenie wchodzi w interakcje z... Przypisz jedną z tych ról...
Cloud Firestore datastore.importExportAdmin
datastore.indexAdmin
datastore.owner
datastore.user
datastore.viewer
Cloud Storage dla Firebase storage.admin
storage.objectAdmin
storage.objectCreator
storage.objectViewer
Rozpowszechnianie aplikacji przez Firebase firebaseappdistro.admin
firebaseappdistro.viewer
Uwierzytelnianie Firebase firebaseauth.admin
firebaseauth.viewer
Testy A/B Firebase firebaseabt.admin
firebaseabt.viewer
Komunikacja w chmurze Firebase firebasenotifications.admin
firebasenotifications.viewer
Firebase Crashlytics firebasecrashlytics.admin
firebasecrashlytics.viewer
Hosting Firebase firebasehosting.admin
firebasehosting.viewer
Wysyłanie wiadomości w aplikacji Firebase firebaseinappmessaging.admin
firebaseinappmessaging.viewer
Firebase ML firebaseml.admin
Firebaseml.viewer
Monitorowanie wydajności Firebase firebaseperformance.viewer
firebaseperformance.reader
firebaseperformance.writer
Baza danych czasu rzeczywistego Firebase firebasedatabase.admin
firebasedatabase.viewer
Reguły zabezpieczeń firebaserules.viewer
firebaserules.developer
firebaserules.deployer
Google Analytics firebaseanalytics.admin
firebaseanalytics.viewer

Usługi Google Cloud

Więcej informacji o tych rolach znajdziesz w dokumentacji Google Cloud.

Jeśli rozszerzenie wchodzi w interakcje z... Przypisz jedną z tych ról...
Działania actions.Administrator
actions.Wyświetlający
Apigee apigee.analyticsAgent
apigee.analyticsEditor
apigee.analyticsViewer
apigee.apiCreator
apigee.deployer
apigee.developerAdmin
apigee.readOnlyAdmin
apigee.synchronizerManager
App Engine appengine.appAdmin
appengine.appViewer
appengine.codeViewer
appengine.deployer
appengine.serviceAdmin
AutoML edytor automl.editor
automl.predictor
automl.viewer
BigQuery bigquery.connectionAdmin
bigquery.connectionUser
bigquery.dataEditor
bigquery.dataOwner
bigquery.dataViewer
bigquery.jobUser
bigquery.metadataViewer
bigquery.readSessionUser
bigquery.user
Cloud Bigtable bigtable.reader
bigtable.user
bigtable.viewer
Płatności billing.viewer
Czaty w Hangouts chat.owner
chat.reader
Zasoby w chmurze cloudasset.owner
cloudasset.viewer
Cloud Data Fusion datafusion.admin
datafusion.viewer
Cloud Debugger clouddebugger.agent
clouddebugger.user
Cloud Functions cloudfunctions.invoker
cloudfunctions.viewer
Cloud IAP iap.admin
iap.httpsResourceAccessor
iap.settingsAdmin
iap.tunnelResourceAccessor
Cloud IoT Cloudiot.deviceController
cloudiot.editor
cloudiot.provisioner
cloudiot.viewer
Stackdriver Profiler cloudprofiler.agent
cloudprofiler.user
Cloud Scheduler cloudscheduler.admin
cloudscheduler.jobRunner
cloudscheduler.viewer
Cloud Security Scanner edytor cloudsecurityscanner.editor
cloudsecurityscanner.runner
cloudsecurityscanner.viewer
Cloud SQL cloudsql.client
cloudsql.editor
cloudsql.viewer
Cloud Trace cloudtrace.admin
cloudtrace.agent
cloudtrace.user
Dataflow dataflow.developer
dataflow.viewer
dataflow.worker
Dialogflow dialogflow.admin
dialogflow.client
dialogflow.reader
Cloud Data Loss Prevention dlp.reader
dlp.user
Raportowanie błędów errorreporting.user
errorreporting.viewer
errorreporting.writer
Eventarc eventarc.publisher
eventarc.eventReceiver
Cloud Filestore file.editor
file.viewer
Logowanie Logging.configWriter
Logging.logWriter
Logging.privateLogViewer
Logging.viewer
Machine Learning Engine ml.developer
ml.jobOwner
ml.modelOwner
Użytkownik ml.model
ml.operationOwner
ml.viewer
Monitorowanie edytor monitorowania.
monitoring.metricWriter
monitoring.viewer
Notatki AI notebooks.admin
notebooks.viewer
Pub/Sub edytor pubsub.editor
pubsub.publisher
pubsub.subscriber
pubsub.viewer
Memorystore Redis redis.editor
redis.viewer
Cloud Run run.invoker
Źródło source.reader
source.writer
Cloud Spanner spanner.databaseAdmin
spanner.databaseReader
spanner.databaseUser
spanner.viewer
Wykorzystanie usług serviceusage.apiKeysMetadataViewer
Usługa transferu Cloud Storage storagetransfer.user
storagetransfer.viewer
Transkoder Cloud transkoder.admin
transkoder.viewer
Vertex AI aiplatform.user
Inne identity Toolkit.admin
identity Toolkit.viewer