Device Sync 権限ガイド

カスタムユーザーデータの有効化と構成

Atlas App Services は、カスタム ユーザー データに対応する MongoDB ドキュメントをリンクされた MongoDB Atlas クラスターに保存します。 アプリケーションにカスタム ユーザー データを構成するときは、クラスター、データベース、コレクション、および最後に ユーザー ID フィールドを指定します。このフィールドは、カスタム ユーザー データ ドキュメントを認証されたユーザーの ID にマッピングします。

Atlas App Services UI でカスタム ユーザー データを有効にするには、次の手順に従います。

1. 左側のパネルで [ App Users ] をクリックします。

2. [ User Settingsタブを選択し、 Custom User Dataセクションを見つけます。

3. Enable Custom User Data トグルを On に設定します。

4. 次の値を指定します。

   • Cluster Name: カスタムユーザーデータデータベースを含むリンクされた MongoDB クラスターの名前。

   • Database Name: カスタム ユーザー データ コレクションを含む MongoDB database の名前。

   • Collection Name: カスタム ユーザー データが含まれる MongoDB コレクションの名前。

5. ユーザー ID フィールドを指定します。 カスタム ユーザー データ コレクション内のすべてのドキュメントには、特定のユーザーにマップするフィールドが必要です。 フィールドはユーザーにマッピングするすべてのドキュメントに存在する必要があり、ユーザーの IDが string として含まれている必要があります。 標準の_idフィールドを使用してユーザー ID を保存することを推奨します。 MongoDB は自動的に_idフィールドに制約を適用し、一意性を確保します。

   注意

   このコレクション内の 2 つのドキュメントに同じユーザー ID 値が含まれている場合、App Services は一致する最初のドキュメントを使用するため、予期しない結果が発生します。

6. 変更を保存して配置します。

   注意

   カスタム ユーザー データを更新した後に同期セッションを再起動する

   同期サーバーはセッション中にカスタムユーザー データをキャッシュします。 そのため、書込みエラーを回避するには、カスタム ユーザー データを更新した後に同期セッションを再起動する必要があります。 同期セッションを再開するには、クライアント アプリケーションで開いているすべての同期セッションを一時停止して再開します。 クライアント SDK からの同期の一時停止と再開の詳細については、希望 SDK を参照してください。

   • Device Sync セッションの一時停止または再開 - Flutter SDK

   • Device Sync セッションの一時停止または再開 - Kotlin SDK

   • Device Sync セッションの一時停止または再開 - Java SDK

   • Device Syncセッションの一時停止または再開 - .NET SDK

   • Device Sync セッションの一時停止または再開 - Node SDK

   • Device Sync セッションの一時停止または再開 - React Native SDK

   • Device Sync セッションの一時停止または再開 - Swift SDK

管理者特権を設定する

カスタム ユーザー データを有効にしたら、 管理者特権 戦略を実装できます。 これを行うには、次の一般的な手順に従います。

1. Realm UI にログインし、左側のパネルにある [ Sync ] をクリックします。

2. Sync Typeで [ Flexibleを選択します。

3. [] トグルを設定して、 Development Modeを有効にします。

4. 同期するクラスターを選択します。

5. Define a Database Name: +Add a new databaseを選択し、Realm が同期されたオブジェクトを保存するために使用するデータベースの名前を入力します。 任意の名前を付けることができます。 作成するアプリにちなんでデータベースに名前を付けるのが一般的な戦略です。

6. Select Queryable Fields: owner_idの 型。 これにより、権限式（次に設定する式）で、 owner_idと呼ばれる任意のフィールドを使用できるようになります。

7. Advanced Configurationをスキップし、 Save Changesをクリックして同期を有効にします。

次に、権限を構成する必要があります。 Rulesページに移動します。 デフォルトロールを編集するには、 Default Roles and Filtersボタンをクリックします。 テンプレート ドロップダウンを使用して、「ユーザーは自分のデータを読み取りと書込みができ、管理者はすべてのデータの読み取りと書込みが可能」というテンプレートを選択します。

これにより、ルール式ボックスに次の内容が入力されます。

[
   {
     "name": "admin",
     "apply_when": {
       "%%user.custom_data.isGlobalAdmin": true
     },
     "document_filters": {
       "read": true,
       "write": true
     },
     "read": true,
     "write": true
   },
   {
     "name": "user",
     "apply_when": {},
     "document_filters": {
       "read": { "owner_id": "%%user.id" },
       "write": { "owner_id": "%%user.id" }
     },
     "read": true,
     "write": true
   }
]

カスタムユーザーデータの有効化と構成

Atlas App Services UI でカスタム ユーザー データを有効にするには、次の手順に従います。

1. 左側のパネルで [ App Users ] をクリックします。

2. [ User Settingsタブを選択し、 Custom User Dataセクションを見つけます。

3. Enable Custom User Data トグルを On に設定します。

4. 次の値を指定します。

   • Cluster Name: カスタムユーザーデータデータベースを含むリンクされた MongoDB クラスターの名前。

   • Database Name: カスタム ユーザー データ コレクションを含む MongoDB database の名前。

   • Collection Name: カスタム ユーザー データが含まれる MongoDB コレクションの名前。

5. ユーザー ID フィールドを指定します。 カスタム ユーザー データ コレクション内のすべてのドキュメントには、特定のユーザーにマップするフィールドが必要です。 フィールドはユーザーにマッピングするすべてのドキュメントに存在する必要があり、ユーザーの IDが string として含まれている必要があります。 標準の_idフィールドを使用してユーザー ID を保存することを推奨します。 MongoDB は自動的に_idフィールドに制約を適用し、一意性を確保します。

   注意

   このコレクション内の 2 つのドキュメントに同じユーザー ID 値が含まれている場合、App Services は一致する最初のドキュメントを使用するため、予期しない結果が発生します。

6. 変更を保存して配置します。

   注意

   カスタム ユーザー データを更新した後に同期セッションを再起動する

   同期サーバーはセッション中にカスタムユーザー データをキャッシュします。 そのため、書込みエラーを回避するには、カスタム ユーザー データを更新した後に同期セッションを再起動する必要があります。 同期セッションを再開するには、クライアント アプリケーションで開いているすべての同期セッションを一時停止して再開します。 クライアント SDK からの同期の一時停止と再開の詳細については、希望 SDK を参照してください。

   • Device Sync セッションの一時停止または再開 - Flutter SDK

   • Device Sync セッションの一時停止または再開 - Kotlin SDK

   • Device Sync セッションの一時停止または再開 - Java SDK

   • Device Syncセッションの一時停止または再開 - .NET SDK

   • Device Sync セッションの一時停止または再開 - Node SDK

   • Device Sync セッションの一時停止または再開 - React Native SDK

   • Device Sync セッションの一時停止または再開 - Swift SDK

認証trigger関数の作成

ユーザーが初めて認証するときにカスタム ユーザー オブジェクトを作成する認証trigger関数を作成する必要があります。 これを行うには、次の手順に従います。

1. Realm UI にログインし、左側のパネルにある [ Triggers ] をクリックします。

2. Add a Triggerボタンをクリックします。

3. Trigger Type トグルを Authentication に設定します。

4. [ trigger の詳細 ] で、次の値を指定します。

   • Name: "onUserCreed"

   • Enbaled: トグルを「オン」に切り替え

   • Action Type: 「作成」を選択します

   • Provider(s): [メール/パスワード] または使用している認証プロバイダを選択します

   • Select an Event Type: 「関数」を選択します

   • Function: "+New Function" を選択し、その後を行います。

     • Function Name: "onUserCreed"

     • Function: プレースホルダー テキストを次の関数で置き換えます。

     exports = function(authEvent) {
         const user = authEvent.user;
         const collection = context.services.get("mongodb-atlas").db("Item").collection("User");
         const newDoc = {
           _id: user.id,
           email: user.data.email, // Useful for looking up user IDs by email later - assuming email/password auth is used
           team: "", // Used for tiered privileges
           isTeamAdmin: false, // Used for tiered privileges
           isGlobalAdmin: false, // Used for admin privileges
           subscribedTo: [], // Used for restricted feed
         };
         return collection.insertOne(newDoc);
     };

制限された権限を設定する

カスタム ユーザー データ オブジェクト内に、ユーザーが追跡している各著者の _id 値を保持する 配列を作成します。 この例では、それを「subscriptions」と呼びます。ユーザー データ オブジェクトは次のようになります。ここで、リリー リアルタイム（ "_id": "1234" ）は、ユーザー "456" と "789" が作成したすべてのドキュメントをサブスクライブしています。

{
   "_id" : "1234",
   "firstName": "Lily",
   "lastName": "Realmster",
   "user.custom_data.subscribedTo": [
     "456",
     "789"
   ]
}

制限された特権戦略を実装できるようになりました。 これを行うには、次の一般的な手順に従います。

1. Realm UI にログインし、左側のパネルにある [ Sync ] をクリックします。

2. Sync Typeで [ Flexibleを選択します。

3. [] トグルを設定して、 Development Modeを有効にします。

4. 同期するクラスターを選択します。

5. Define a Database Name: +Add a new databaseを選択し、Realm が同期されたオブジェクトを保存するために使用するデータベースの名前を入力します。 任意の名前を付けることができます。 作成するアプリにちなんでデータベースに名前を付けるのが一般的な戦略です。

6. Select Queryable Fields: owner_idの 型。 これにより、権限式（次に設定する式）で、 owner_idと呼ばれる任意のフィールドを使用できるようになります。

7. Advanced Configurationをスキップし、 Save Changesをクリックして同期を有効にします。

次に、権限を構成する必要があります。 Rulesページに移動します。 デフォルトロールを編集するには、 Default Roles and Filtersボタンをクリックします。 テンプレートのドロップダウンを使用して、「ユーザーは自分のデータの読み取りと書込みのみが可能」というテンプレートを選択します。 これにより、ルール式ボックスには次の内容が入力されます。これは正確には 必要ではありません が、ほとんどのロジックは提供されます。

{
  "name": "owner-read-write",
  "apply_when": {},
  "document_filters": {
    "read": { "owner_id": "%%user.id" },
    "write": { "owner_id": "%%user.id" }
  },
  "read": true,
  "write": true
}

ユーザーは現在、自分のドキュメントのみを読み取ることができることに注意してください（ "read": {"owner_id": "%%user.id"} ）。 これを変更して、著者が ID を持つドキュメントをユーザーの "subscribeTo" 配列に含めることができます。 そのためには、 $in演算子を使用します。 式は次のようになります。

{
  "name": "owner-read-write",
  "apply_when": {},
  "document_filters": {
    "read": {
      "owner_id": {
        "$in": "%%user.custom_data.subscribedTo"
      }
    },
    "write": { "owner_id": "%%user.id" }
  },
  "read": true,
  "write": true
}

この新しいロジックでルール式ボックスを更新し、変更を保存します。

注: document_filters.read式を変更して、subscriptedTo 配列の作成者のみを指定しましたが、 document_filters.read式により、ユーザーは引き続き自分のドキュメントに「読み取り」アクセス権を持ちます。 書込みアクセスが付与されるたびに、読み取りアクセス権が暗黙的に付与されます。

preserveToUser 関数の作成

あるユーザーを別のユーザーにサブスクライブする関数が必要です。 著者のユーザー ID がサブスクライブのカスタムユーザーデータ「subscribeTo」配列にある場合、サブスクライブは著者に「サブスクライブ」されたと見なす権限が設定されています。 "subscribeToUser" 関数は、ユーザーのメールアドレスを受け取り、カスタムユーザーデータコレクションから対応するユーザー ID を検索し、その ID をリクエスト元ユーザーの "subscribeTo" 配列に追加します。

この関数はシステム認証の下で実行され、カスタム ユーザー データに書込まれることに注意してください。 権限にカスタム ユーザー データを使用する場合、クライアントがカスタム ユーザー データを直接編集できるようにしてはなりません。 それ以外の場合、すべてのユーザーが自分自身に任意の権限を付与できます。 代わりに、 System 関数を使用してバックエンド上のユーザー データを変更します。 この関数は、ユーザーの権限リクエストが有効であることを確認するために必要なチェックを行います。

関数を作成するには、次の手順に従います。

1. Realm UI にログインし、左側のパネルにある [ Functions ] をクリックします。

2. Create New Functionボタンをクリックします。

3. 次の値を指定します。

   • Name: "subscribeToUser"

   • Authentication: "システム"

4. Function Editorタブに切り替え、プレースホルダー テキストを次のコードで置き換えます。

   exports = async function(email) {
     const collection = context.services.get("mongodb-atlas").db("Item").collection("User");
     // Look up the author object to get the user id from an email
     const author = await collection.findOne({email});
     if (author == null) {
       return {error: `Author ${email} not found`};
     }
     // Whoever called this function is the would-be subscriber
     const subscriber = context.user;
     try {
       return await collection.updateOne(
         {_id: subscriber.id},
         {$addToSet: {
             subscribedTo: author._id,
           }
         });
     } catch (error) {
       return {error: error.toString()};
     }
   };

権限を設定する

この戦略を実装するには、次の一般的な手順に従います。

1. Realm UI にログインし、左側のパネルにある [ Sync ] をクリックします。

2. Sync Typeで [ Flexibleを選択します。

3. [] トグルを設定して、 Development Modeを有効にします。

4. 同期するクラスターを選択します。

5. Define a Database Name: +Add a new databaseを選択し、Realm が同期されたオブジェクトを保存するために使用するデータベースの名前を入力します。 任意の名前を付けることができます。 作成するアプリにちなんでデータベースに名前を付けるのが一般的な戦略です。

6. Select Queryable Fields: owner_idの 型。 これにより、権限式（次に設定する式）で、 owner_idと呼ばれる任意のフィールドを使用できるようになります。

7. Advanced Configurationをスキップし、 Save Changesをクリックして同期を有効にします。

Select Queryable Fieldsフィールドに、 collaboratorsも入力します。 これは、ドキュメントの読み取りと書込みも可能なユーザーの ID を保存する フィールドになります。

次に、権限を構成する必要があります。 Define Permissionsの下で、テンプレートのドロップダウンを使用して「カスタム（最初から開始）」を選択します。 以下をルール式ボックスに貼り付けます。

{
  "name": "collaborator",
  "apply_when": {},
  "document_filters": {
    "read": {
      "$or": [
        {
          "owner_id": "%%user.id"
        },
        {
          "collaborators": "%%user.id"
        }
      ]
    },
    "write": {
      "$or": [
        {
          "owner_id": "%%user.id"
        },
        {
          "collaborators": "%%user.id"
        }
      ]
    }
  },
  "read": true,
  "write": true
}

"write" 式と "read" 式は同一です。 それらの 1 つを調べてください。 $orは、オプションの配列を取ります。 ユーザーがドキュメントを書込み (write) できる条件として、次の 2 つあります。

• ドキュメントのowner_idフィールドはユーザーの ID と等しい

• ドキュメントのcollaborators配列フィールドにはユーザーの ID が含まれています。

一般的に、ユーザーに書込み権限が付与されると、そのユーザーには自動的に読み取り権限が付与されます。 ただし、App Services では同期互換性のあるロールにdocument_filters.readとdocument_filters.writeの両方を定義する必要があるため、 document_filters.read式を省略できません。

コレクターの追加

ユーザーは、ドキュメントのcollaborators配列フィールドにそのユーザーの ID を追加することで、別のユーザーにドキュメントへの書込みアクセス権を付与できます。 これはクライアント側で実行できます。

セキュリティ

このモデルは機密性の高いデータには使用しないでください。

このモデルでは、権限システムを使用して、ドキュメント作成者とドキュメントに追加される照合者の間でドキュメントのプライベートを保ちます。 ただし、ドキュメントへの書込み (write) アクセス権を持つユーザーは、ドキュメントの任意のフィールドに書込むことができます。 結果、この戦略では、照合者は他の照合者を追加することができます。 また、コラボレーションにowner_idフィールドの編集も許可されます。 同期の互換性の場合、フィールドレベルの権限はブール値のリテラルである必要があるため、これらのフィールドへの書込みを特定のユーザーに制限することはできません。

ユーザー検索

他のユーザーの ID をどのように取得するかは、アプリの詳細によって異なります。 たとえば、ユーザーがドキュメントに別のユーザーを追加したい場合、メールアドレスを受け入れる検索ボックスが利用できます。 指定されたメールアドレスが別のユーザーに対応する場合、クライアントはそのユーザーの ID をドキュメントのcollaborators配列に追加できます。

Realm にはユーザーを検索するための組み込み方法はありません。 一般的に、ユーザーを検索するためのフローは次のようになります。

• ユーザーが登録するときにユーザー ドキュメントを作成するように認証triggerを設定します。 ユーザー ドキュメントには、ユーザーのメールアドレスなど、後で検索するために使用する情報が含まれています。

• ユーザーのユーザー データ コレクションをクエリする関数を作成します。

• ユーザーが別のユーザーを検索する場合は、クライアント側から関数を呼び出します。

認証triggerを作成するには、次の手順に従います。

1. Realm UI にログインし、左側のパネルにある [ Triggers ] をクリックします。

2. Add a Triggerボタンをクリックします。

3. Trigger Type トグルを Authentication に設定します。

4. [ trigger の詳細 ] で、次の値を指定します。

   • Name: "onUserCreed"

   • Enbaled: トグルを「オン」に切り替え

   • Action Type: 「作成」を選択します

   • Provider(s): [メール/パスワード] または使用している認証プロバイダを選択します

   • Select an Event Type: 「関数」を選択します

   • Function: "+New Function" を選択し、その後を行います。

     • Function Name: "onUserCreed"

     • Function: プレースホルダー テキストを次の関数で置き換えます。

     exports = function(authEvent) {
         const user = authEvent.user;
         const collection = context.services.get("mongodb-atlas").db("Item").collection("User");
         const newDoc = {
           _id: user.id,
           email: user.data.email, // Useful for looking up user IDs by email later - assuming email/password auth is used
           team: "", // Used for tiered privileges
           isTeamAdmin: false, // Used for tiered privileges
           isGlobalAdmin: false, // Used for admin privileges
           subscribedTo: [], // Used for restricted feed
         };
         return collection.insertOne(newDoc);
     };

次に、 findUserというシステム関数を作成します。

• RealmUI にログインし、Go RealmアプリにFunctions し、左側のパネルにある [ ] をクリックします。

• Create New Functionボタンをクリックします。

• 関数にはわかりやすいNameを指定します。

• Authentication: Systemを選択します。 これにより、関数はコレクションに対する権限をバイパスできます。

• Log Function Arguments: offのままにします。

• Authorization:

  • Can Evaluate: 空白のままにします。

  • Private: offのままにします。

• [ Saveをクリックします。 これによりFunction Editorが表示され、いくつかの値を入力して実行できるようになります。

Function Editorで、次のコードを貼り付けて保存します。

exports = async function(email) {
  const collection = context.services.get("mongodb-atlas")
    .db("Item").collection("User");
  const filter = {
    email,
  };
  // Search for the user by email
  const result = await collection.findOne(filter);
  // Return corresponding user id or null
  return result != null ? result._id : null;
};

クライアントから、この関数を呼び出せるようになりました。 関数の唯一の引数はメールアドレス string です。 メールがユーザーに対応する場合、関数はユーザーの ID を返します。 それ以外の場合は、null が返されます。

カスタムユーザーデータの有効化と構成

Atlas App Services UI でカスタム ユーザー データを有効にするには、次の手順に従います。

1. 左側のパネルで [ App Users ] をクリックします。

2. [ User Settingsタブを選択し、 Custom User Dataセクションを見つけます。

3. Enable Custom User Data トグルを On に設定します。

4. 次の値を指定します。

   • Cluster Name: カスタムユーザーデータデータベースを含むリンクされた MongoDB クラスターの名前。

   • Database Name: カスタム ユーザー データ コレクションを含む MongoDB database の名前。

   • Collection Name: カスタム ユーザー データが含まれる MongoDB コレクションの名前。

5. ユーザー ID フィールドを指定します。 カスタム ユーザー データ コレクション内のすべてのドキュメントには、特定のユーザーにマップするフィールドが必要です。 フィールドはユーザーにマッピングするすべてのドキュメントに存在する必要があり、ユーザーの IDが string として含まれている必要があります。 標準の_idフィールドを使用してユーザー ID を保存することを推奨します。 MongoDB は自動的に_idフィールドに制約を適用し、一意性を確保します。

   注意

   このコレクション内の 2 つのドキュメントに同じユーザー ID 値が含まれている場合、App Services は一致する最初のドキュメントを使用するため、予期しない結果が発生します。

6. 変更を保存して配置します。

   注意

   カスタム ユーザー データを更新した後に同期セッションを再起動する

   同期サーバーはセッション中にカスタムユーザー データをキャッシュします。 そのため、書込みエラーを回避するには、カスタム ユーザー データを更新した後に同期セッションを再起動する必要があります。 同期セッションを再開するには、クライアント アプリケーションで開いているすべての同期セッションを一時停止して再開します。 クライアント SDK からの同期の一時停止と再開の詳細については、希望 SDK を参照してください。

   • Device Sync セッションの一時停止または再開 - Flutter SDK

   • Device Sync セッションの一時停止または再開 - Kotlin SDK

   • Device Sync セッションの一時停止または再開 - Java SDK

   • Device Syncセッションの一時停止または再開 - .NET SDK

   • Device Sync セッションの一時停止または再開 - Node SDK

   • Device Sync セッションの一時停止または再開 - React Native SDK

   • Device Sync セッションの一時停止または再開 - Swift SDK

認証trigger関数の作成

ユーザーが初めて認証するときにカスタム ユーザー オブジェクトを作成する認証trigger関数を作成する必要があります。 これを行うには、次の手順に従います。

1. Realm UI にログインし、左側のパネルにある [ Triggers ] をクリックします。

2. Add a Triggerボタンをクリックします。

3. Trigger Type トグルを Authentication に設定します。

4. [ trigger の詳細 ] で、次の値を指定します。

   • Name: "onUserCreed"

   • Enbaled: トグルを「オン」に切り替え

   • Action Type: 「作成」を選択します

   • Provider(s): [メール/パスワード] または使用している認証プロバイダを選択します

   • Select an Event Type: 「関数」を選択します

   • Function: "+New Function" を選択し、その後を行います。

     • Function Name: "onUserCreed"

     • Function: プレースホルダー テキストを次の関数で置き換えます。

     exports = function(authEvent) {
         const user = authEvent.user;
         const collection = context.services.get("mongodb-atlas").db("Item").collection("User");
         const newDoc = {
           _id: user.id,
           email: user.data.email, // Useful for looking up user IDs by email later - assuming email/password auth is used
           team: "", // Used for tiered privileges
           isTeamAdmin: false, // Used for tiered privileges
           isGlobalAdmin: false, // Used for admin privileges
           subscribedTo: [], // Used for restricted feed
         };
         return collection.insertOne(newDoc);
     };

joinTeam 関数の作成

チームにユーザーを追加する関数が必要になりました。 この関数はシステム認証の下で実行され、カスタム ユーザー データに書込まれることに注意してください。 ユーザーが初めて正常に認証されたときにユーザー カスタム データが作成されたため、アップサートは実行されません。

関数を作成するには、次の手順に従います。

1. Realm UI にログインし、左側のパネルにある [ Functions ] をクリックします。

2. Create New Functionボタンをクリックします。

3. 次の値を指定します。

   • Name: "joinTeam"

   • Authentication: "システム"

4. Function Editorタブに切り替え、プレースホルダー テキストを次のコードで置き換えます。

   exports = async function(userId, teamName) {
     const collection = context.services.get("mongodb-atlas")
       .db("Item").collection("User");
     const filter = { _id: userId };
     const update = { $set: { team: teamName }};
     const options = { upsert: false };
     return collection.updateOne(filter, update, options);
   };

権限を定義する

次の権限では 2 つのロールを指定します。

• teamAdminは、ユーザーのカスタム データがisTeamAdmin: trueの場合にのみ適用されます。 その場合、ユーザーはドキュメントのteam値がユーザーのteam値と一致するすべてのドキュメントの読み取りと書き込みができます。

• teamMeaverはすべてのユーザーに適用されます。 ユーザーは自分のドキュメントを作成し、ドキュメントのteam値がユーザーのteam値と一致するすべてのドキュメントを読み取ることができます。

[
   {
     "name": "admin",
     "apply_when": {
       "%%user.custom_data.isTeamAdmin": true
     },
     "document_filter": {
       "read": {
         "team": "%%user.custom_data.team"
       },
       "write": {
         "team": "%%user.custom_data.team"
       }
     },
     "read": true,
     "write": true
   },
   {
     "name": "user",
     "apply_when": {},
     "document_filters": {
       "read": {
         "team": "%%user.custom_data.team"
       },
       "write": {
         "owner_id": "%%user.id"
       }
     },
     "read": true,
     "write": true
   }
]