為擴充功能設定適當存取權

為了讓擴充功能執行指定動作，Firebase 會透過服務帳戶，授予已安裝擴充功能的每個執行個體專案和資料的有限存取權。

什麼是服務帳戶？

服務帳戶是一種特殊的 Google 使用者帳戶，代表可對 Google 服務執行已授權 API 呼叫的非真人使用者。

安裝擴充功能時，Firebase 會在專案中為擴充功能建立服務帳戶。每個已安裝的擴充功能執行個體都有自己的服務帳戶。如果解除安裝擴充功能執行個體，Firebase 會刪除擴充功能的服務帳戶。

為擴充功能建立的服務帳戶格式如下：

ext-extension-instance-id@project-id.iam.gserviceaccount.com

Firebase 會為擴充功能的服務帳戶指派特定角色 (權限組合)，限制擴充功能存取專案及其資料。建構擴充功能時，您要決定擴充功能運作所需的角色，然後在 extension.yaml 檔案中列出這些角色，以及擴充功能需要這些角色的原因 (請參閱本頁底部的範例)。

判斷擴充功能需要哪些角色

建構擴充功能時，請決定擴充功能運作所需的存取層級。

安裝期間，Firebase CLI 會提示使用者接受各角色授予的存取層級。如果擴充功能要求的角色超出實際需求，使用者可能就不會安裝。

1. 判斷擴充功能是否與產品互動：

   • 如果擴充功能與產品互動，則必須授予擴充功能存取該產品的權限。

     舉例來說，如果擴充功能要將資料寫入 Realtime Database 執行個體，則擴充功能需要 Realtime Database 角色 (具體來說是 firebasedatabase.admin)。

   • 如果擴充功能只是監聽產品的觸發事件，則不需要與該產品相關聯的角色。

     舉例來說，如果擴充功能在寫入 Realtime Database 執行個體時觸發 (但不會寫入任何資料至資料庫)，則擴充功能不需要 Realtime Database 角色。

2. 確定擴充功能互動的產品後，您需要決定該特定互動所需的角色。部分產品會根據執行的動作或動作集提供不同角色。

   舉例來說，假設您的擴充功能會與 Cloud Storage bucket 互動。storage.objectCreator 角色可讓擴充功能在 Cloud Storage 值區中建立物件，但無法檢視、刪除或覆寫物件。如要讓擴充功能執行這些額外動作，請改為指派 storage.objectAdmin 角色。

請參閱本頁面底部的章節，查看可指派給擴充功能服務帳戶的所有支援角色。如要瞭解各個角色的說明和授予的權限，請參閱 Firebase 說明文件或 Google Cloud 說明文件。您也可以在 Google Cloud 控制台的「IAM & Admin」(IAM 與管理) 面板中查詢角色。

如何將角色指派給擴充功能

在 extension.yaml 檔案的 roles 區段中，列出擴充功能運作所需的 IAM 角色。

以下範例說明如何為監聽特定 Firebase Realtime Database 路徑的擴充功能建立擴充功能。觸發後，擴充功能會更新使用者帳戶電子郵件 (與 Firebase Authentication 互動)，並傳送通知 (與 Firebase Cloud Messaging 互動)。請注意下列事項：

• 即使擴充功能是從 Realtime Database 事件觸發，firebasedatabase.admin 角色也不會列出 (監聽不視為互動)。
• 由於擴充功能會與 Authentication 和 Cloud Messaging「互動」，因此擴充功能需要角色才能存取這些產品 (分別是 firebaseauth.admin 和 firebasenotifications.admin)。

# extension.yaml
...

# Roles assigned to the extension's service account by Firebase during installation
roles:
  - role: firebaseauth.admin
    reason: Required to update the email address of the user account

  - role: firebasenotifications.admin
    reason: Required to send a notification that the email address has been updated

...

在 extension.yaml 檔案中，使用下列欄位將角色指派給擴充功能的服務帳戶：

縮減角色範圍

擴充功能應遵循最小權限原則，只要求存取所需的資源。您可以使用 role.resource 欄位限制擴充功能的存取範圍。 舉例來說，如果擴充功能需要將物件寫入 Cloud Storage bucket，您可以使用下列角色：

roles:
  - role: storage.objectCreator
    reason: Needed in order to write
    resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}

這樣一來，擴充功能就只會存取所需的 bucket，而不會存取同一專案中的其他 bucket。

這個欄位支援專案 (projects/{project_id}) 和 Storage bucket (projects/{project_id}/buckets/{bucket_id})。

擴充功能支援的角色

下表列出與 Firebase 產品互動時支援的 IAM 角色。這個表格中的大多數角色都是 Firebase 產品層級角色，但部分角色是由 Google Cloud 直接管理 (具體來說，是 Cloud Firestore 和 Cloud Storage)。

Firebase 產品

Google Cloud 產品

如要瞭解這些角色，請參閱 Google Cloud 說明文件。