העברה של אירועי אימות ב-Firebase ל-Cloud Run

Standard

תצוגה מקדימה — Firebase Authentication אירועים ישירים

השימוש בתכונה הזו כפוף לתנאי השימוש במוצרים בגרסת טרום-GA, שמפורטים בחלק "תנאי שירות הכלליים" בתנאים הספציפיים של השירות. השימוש בתכונות בגרסת טרום-GA הוא "כפי שהן" (As is), ויכול להיות שהתמיכה בהן תהיה מוגבלת. מידע נוסף זמין בקטע תיאור שלבי ההשקה.

טריגר ב-Eventarc מציין שיש לכם עניין באירוע מסוים או בקבוצת אירועים. אפשר להגדיר ניתוב אירועים על ידי ציון מסננים לטריגר, כולל מקור האירוע ושירות היעד של Cloud Run.

‫Eventarc מעביר אירועים למקבל האירועים בפורמט CloudEvents באמצעות בקשת HTTP.

ההוראות האלה מסבירות איך להגדיר ניתוב אירועים לשירות Cloud Run שמופעל על ידי אירועFirebase Authentication ישיר. פרטים נוספים זמינים ברשימה של אירועים ישירים נתמכים.

הערה: אם ספק Google תומך באירועים ישירים ובאירועים ביומן ביקורת, מומלץ ליצור טריגר שמסנן את האירוע הישיר. לאירועים ישירים יש כמה יתרונות בהשוואה לאירועים ביומן ביקורת. מידע נוסף זמין במאמר בנושא נתיבי אירועים.

הכנה ליצירת טריגר

לפני שיוצרים טריגר, צריך לבצע את הפעולות המקדימות הבאות:

המסוף

1. בדף לבחירת הפרויקט במסוף Google Cloud , בוחרים פרויקט ב- Google Cloud או יוצרים אותו.

   הערה: אם אתם לא מתכננים לשמור את המשאבים שתיצרו בתהליך הזה, תוכלו ליצור פרויקט חדש במקום לבחור באחד מהפרויקטים הקיימים. בסיום התהליך תוכלו למחוק את הפרויקט ולהסיר את כל המשאבים שמשויכים אליו.

   כניסה לדף לבחירת הפרויקט

2. מפעילים את Cloud Logging API,‏ Eventarc API ו-Eventarc Publishing API.

   הפעלת ממשקי ה-API

3. אם רלוונטי, מפעילים את ממשק ה-API שקשור לאירועים הישירים. לדוגמה, כדי להשתמש ב Firebase Authentication אירועים, צריך להפעיל את Identity Toolkit API.

4. אם עדיין אין לכם חשבון שירות, אתם צריכים ליצור חשבון שירות בניהול המשתמש, ואז להקצות לו את התפקידים וההרשאות הנדרשים כדי ש-Eventarc יוכל לנהל אירועים בשירות היעד.

   1. במסוף Google Cloud , נכנסים לדף יצירת חשבון שירות.

      כניסה לדף Create service account

   2. בוחרים את הפרויקט הרצוי.

   3. כותבים שם בשדה Service account name. השדה Service account ID ימולא במסוף Google Cloud בהתאם לשם הזה.

      כותבים תיאור בשדה Service account description. לדוגמה, Service account for event trigger.

   4. לוחצים על Create and continue.

   5. כדי לספק גישה מתאימה, ברשימה Select a role בוחרים את התפקידים הנדרשים בפלטפורמה לניהול זהויות והרשאות גישה (IAM) שרוצים להקצות לחשבון השירות עבור הפעלות מאומתות או לא מאומתות. מידע נוסף זמין במאמר תפקידים והרשאות ליעדים ב-Cloud Run.

      כדי להוסיף עוד תפקידים, לוחצים על Add another role ומוסיפים אותם אחד אחרי השני.

      חשוב: כדי לאשר הפעלות מאומתות של שירות Cloud Run, צריך לשייך את הטריגר לחשבון שירות עם התפקיד roles/run.invoker. כשיוצרים או מעדכנים את הטריגר, בוחרים את חשבון השירות הזה.

   6. לוחצים על Continue.

   7. כדי לסיים את יצירת החשבון, לוחצים על סיום.

gcloud

1. במסוף Google Cloud , מפעילים את Cloud Shell.

   הפעלת Cloud Shell

   בחלק התחתון של Google Cloud המסוף יתחיל סשן של Cloud Shell ותופיע הודעה של שורת הפקודה. Cloud Shell היא סביבת מעטפת שבה ה-CLI של Google Cloud מותקן ומוגדרים ערכים לפרויקט הקיים. הסשן יופעל תוך כמה שניות.

2. מפעילים את Cloud Logging API,‏ Eventarc API ו-Eventarc Publishing API.

   gcloud services enable logging.googleapis.com \
     eventarc.googleapis.com \
     eventarcpublishing.googleapis.com

3. אם רלוונטי, מפעילים את ממשק ה-API שקשור לאירועים הישירים. לדוגמה, כדי להפעיל Firebase Authentication אירועים, צריך להפעיל את האפשרות identitytoolkit.googleapis.com.

4. אם עדיין אין לכם חשבון שירות, אתם צריכים ליצור חשבון שירות בניהול המשתמש, ואז להקצות לו את התפקידים וההרשאות הנדרשים כדי ש-Eventarc יוכל לנהל אירועים בשירות היעד.

   1. יוצרים את חשבון השירות:

      gcloud iam service-accounts create SERVICE_ACCOUNT_NAME

      מחליפים את SERVICE_ACCOUNT_NAME בשם של חשבון השירות. הוא צריך להכיל בין 6 ל-30 תווים, והוא יכול לכלול תווים אלפאנומריים קטנים ומקפים. אחרי שיוצרים חשבון שירות, אי אפשר לשנות את השם שלו.

   2. נותנים את התפקידים או ההרשאות הנדרשים בניהול הזהויות והרשאות הגישה (IAM) להפעלות מאומתות או לא מאומתות. מידע נוסף זמין במאמר תפקידים והרשאות ליעדים ב-Cloud Run.

   חשוב: כדי לאפשר הפעלות מאומתות של שירות Cloud Run, צריך לשייך את הטריגר לחשבון שירות עם התפקיד roles/run.invoker. כשיוצרים או עורכים את הטריגר, משתמשים בדגל --service-account כדי לשייך את חשבון השירות הזה לטריגר.

יצירת טריגר

אפשר ליצור טריגר Eventarc באמצעות Google Cloud CLI או דרך מסוף Google Cloud .

הערה: הסינון מתבצע באמצעות התאמה מדויקת, ואין תמיכה בתווים כלליים לחיפוש או בביטויים רגולריים.

המסוף

1. נכנסים לדף Triggers ב-Eventarc במסוף Google Cloud .

   כניסה לדף Triggers

2. לוחצים על Create trigger (יצירת ביטוי להפעלה).
3. מקלידים Trigger name.

   זהו המזהה של הטריגר, והוא חייב להתחיל באות. הוא יכול להכיל עד 63 אותיות קטנות, מספרים או מקפים.

4. בשדה Trigger type, בוחרים באפשרות Google sources.
5. ברשימה Event provider בוחרים באפשרות Firebase Authentication.

   שימו לב: יכול להיות שבשם ספק האירועים שמופיע בGoogle Cloud מסמכי התיעוד המשויכים לא מופיעה התחילית Cloud או Google Cloud. לדוגמה, במסוף, Memorystore for Redis נקרא Google Cloud Memorystore for Redis.

6. ברשימה Event type (סוג האירוע), בוחרים סוג אירוע מתוך האירועים Direct (ישירים).
7. כדי לציין את הקידוד של מטען הייעודי (payload) של האירוע, ברשימה Event data content type (סוג התוכן של נתוני האירוע), בוחרים באפשרות application/json או באפשרות application/protobuf.

   שימו לב שמטען ייעודי (payload) של אירוע בפורמט JSON גדול יותר ממטען ייעודי בפורמט Protobuf. הדבר הזה עשוי להשפיע על המהימנות, בהתאם ליעד של האירוע ולמגבלות שלו לגבי גודל האירוע. מידע נוסף זמין במאמר בנושא בעיות מוכרות.

8. ברשימה Region, בוחרים באפשרות global (Global).

   מידע נוסף זמין במאמר בנושא מיקומי Eventarc.

9. אופציונלי: אפשר לסנן אירועים לפי מזהה דייר ספציפי ב-Identity Platform על ידי ציון ערך מאפיין tenantid.
10. בוחרים את חשבון השירות שיפעיל את השירות או את תהליך העבודה.

    אפשר גם ליצור חשבון שירות חדש.

    כאן מציינים את כתובת האימייל בחשבון השירות של ניהול הזהויות והרשאות הגישה (IAM) שמשויך לטריגר, ושקודם לכן הענקתם לו תפקידים ספציפיים שנדרשים על ידי Eventarc.

11. ברשימה Event destination בוחרים באפשרות Cloud Run.
12. בוחרים שירות.
    

    זהו שם השירות שמקבל את האירועים להפעלת הטריגר. השירות צריך להיות באותו פרויקט כמו הטריגר, והוא יקבל אירועים כבקשות HTTP POST שנשלחות לנתיב של כתובת ה-URL הבסיסית שלו (/), בכל פעם שהאירוע נוצר.

13. אפשר גם לציין את נתיב כתובת ה-URL של השירות שאליו רוצים לשלוח את הבקשה הנכנסת.

    זהו הנתיב היחסי בשירות היעד שאליו יישלחו האירועים של הטריגר. לדוגמה: /, /route, route, route/subroute.

14. אפשר גם לבטל את הסימון של התיבה הפעלת ניסיון חוזר במקרה של כשל כדי לציין ניסיון מסירה יחיד ללא ניסיונות חוזרים. אחרת, התנהגות ברירת המחדל היא ניסיונות חוזרים אם ניסיון המסירה נכשל. מידע נוסף זמין במאמר בנושא ניסיון חוזר לשליחת אירועים.
15. אפשר גם ללחוץ על הוספת תווית . תוויות הן צמדי מפתח/ערך שעוזרים לכם לארגן אתGoogle Cloud המשאבים. מידע נוסף זמין במאמר מהן תוויות?
16. לוחצים על יצירה.

אחרי שיוצרים טריגר, אי אפשר לשנות את המסננים של מקור האירועים. במקום זאת, אפשר ליצור טריגר חדש ולמחוק את הטריגר הישן. מידע נוסף זמין במאמר בנושא ניהול טריגרים.

gcloud

כדי ליצור טריגר, מריצים gcloud eventarc triggers createפקודה עם דגלים נדרשים ואופציונליים.

gcloud eventarc triggers create TRIGGER \
    --location=global \
    --destination-run-service=DESTINATION_RUN_SERVICE \
    --destination-run-region=DESTINATION_RUN_REGION \
    --event-filters="type=EVENT_FILTER_TYPE" \
    --event-data-content-type="EVENT_DATA_CONTENT_TYPE" \
    --service-account=SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

מחליפים את מה שכתוב בשדות הבאים:

• ‫TRIGGER: המזהה של הטריגר או מזהה מלא.
• ‫DESTINATION_RUN_SERVICE: השם של שירות Cloud Run שמקבל את האירועים של הטריגר. השירות יכול להיות בכל אחד מהמיקומים הנתמכים של Cloud Run, והוא לא צריך להיות באותו מיקום כמו הטריגר. עם זאת, השירות צריך להיות באותו פרויקט כמו הטריגר והוא יקבל אירועים כבקשות HTTP POST שנשלחות לנתיב כתובת ה-URL הבסיסית שלו (/), בכל פעם שהאירוע נוצר.
• ‫DESTINATION_RUN_REGION: (אופציונלי) המיקום של Cloud Run שבו נמצא שירות היעד של Cloud Run. אם לא מציינים זאת, ההנחה היא שהשירות נמצא באותו אזור כמו הטריגר.
• ‫EVENT_FILTER_TYPE: המזהה של אירוע האימות ב-Firebase. יכול להיות אחד מהערכים הבאים:
  • ‫google.firebase.auth.user.v2.created: האירוע נשלח כשנוצר חשבון משתמש
  • ‫google.firebase.auth.user.v2.deleted: האירוע נשלח כשחשבון משתמש נמחק
• ‫EVENT_DATA_CONTENT_TYPE: (אופציונלי) הקידוד של מטען הייעודי (payload) של האירוע. הערך יכול להיות application/json או application/protobuf. קידוד ברירת המחדל הוא application/json.

  שימו לב שמטען ייעודי (payload) של אירוע בפורמט JSON גדול יותר ממטען ייעודי בפורמט Protobuf. זה עלול להשפיע על המהימנות, בהתאם ליעד של האירוע ולמגבלות שלו על גודל האירוע. מידע נוסף זמין במאמר בעיות מוכרות.

• ‫SERVICE_ACCOUNT_NAME: השם של חשבון השירות שמנוהל על ידי המשתמש.
• ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .

הערות:

• אופציונלי: אפשר לסנן אירועים לפי מזהה דייר ספציפי ב-Identity Platform באמצעות הדגל --event-filters="tenantid=TENANT_ID" וציון התאמה מדויקת.

• הדגל --location חייב להיות global. מידע נוסף זמין במאמר בנושא מיקומי Eventarc.
• אחרי שיוצרים טריגר, אי אפשר לשנות את סוג המסנן של האירועים. כדי להגדיר טריגר לסוג אירוע אחר, צריך ליצור טריגר חדש.
• הדגל --service-account משמש לציון כתובת האימייל בחשבון השירות בניהול זהויות והרשאות גישה (IAM) שמשויך לטריגר.
• אפשר להשתמש בדגל --destination-run-path כדי לציין נתיב יחסי בשירות היעד של Cloud Run שאליו יישלחו האירועים של הטריגר.

דוגמה:

gcloud eventarc triggers create helloworld-trigger \
    --location=global \
    --destination-run-service=helloworld-events \
    --destination-run-region=us-central1 \
    --event-filters="type=google.firebase.auth.user.v2.created" \
    --service-account=${SERVICE_ACCOUNT_NAME}@${PROJECT_ID}.iam.gserviceaccount.com

הפקודה הזו יוצרת טריגר בשם helloworld-trigger לאירוע שמזוהה כ-google.firebase.auth.user.v2.created.

Terraform

אפשר ליצור טריגר ליעד ב-Cloud Run באמצעות Terraform. פרטים נוספים זמינים במאמר יצירת טריגר באמצעות Terraform.

הערה: הטריגר נוצר באופן מיידי, אבל יכולות לעבור עד שתי דקות עד שהטריגר יופעל ויסנן את האירועים.

הצגת טריגר

אפשר לאשר את יצירת הטריגר באמצעות רשימת הטריגרים של Eventarc ב-Google Cloud CLI או במסוף Google Cloud .

המסוף

1. נכנסים לדף Triggers ב-Eventarc במסוף Google Cloud .

   כניסה לדף Triggers

   בדף הזה מפורטים הטריגרים בכל המיקומים, כולל פרטים כמו שמות, אזורים, ספקי אירועים, יעדים ועוד.

2. כדי לסנן את הטריגרים:

   1. לוחצים על מסנן או על השדה הפעלת מסנן.
   2. ברשימה Properties, בוחרים אפשרות לסינון הטריגרים.

   אפשר לבחור נכס אחד או להשתמש באופרטור הלוגי OR כדי להוסיף עוד נכסים.

3. כדי למיין את הטריגרים, לוחצים על מיון לצד כותרת של עמודה נתמכת.

gcloud

מריצים את הפקודה הבאה כדי להציג את הטריגרים:

gcloud eventarc triggers list --location=-

הפקודה הזו מציגה רשימה של הטריגרים בכל המיקומים, וכוללת פרטים כמו שמות, סוגים, יעדים וסטטוסים.

המאמרים הבאים

• מידע נוסף על אימות ב-Firebase
• איך מפעילים פונקציות Cloud Run באמצעות אירועי אימות ב-Firebase
• מידע נוסף על Eventarc
• איך מנהלים טריגרים