プロジェクト間およびテナント間でのユーザーの移行

このドキュメントでは、既存の Identity Platform プロジェクトから別のプロジェクトにユーザーを移行する方法について説明します。また、テナント以外のプロジェクトからテナントにユーザーを移行する方法や、テナント間でユーザーを移行する方法についても説明します。

始める前に

Admin SDK をインストールする。

サービスアカウントキーの構成

ユーザーアカウントを移行する前に、移行元と移行先のプロジェクトの両方のサービスアカウントキーが必要です。サービスアカウントに少なくとも、ソースプロジェクトのユーザーとハッシュされたパスワードにアクセスするには、少なくとも IAM 編集者のロール（roles/editor）が付与されている必要があります。サービスアカウントの作成、権限の付与、キーの取得の詳細については、IAM のドキュメントをご覧ください。

キーをダウンロードしたら、そのキーを使用して 2 つの auth インスタンスをインスタンス化します。

var admin = require('firebase-admin');

var sourceApp = admin.initializeApp({
  credential: admin.credential.cert('source-project-service-account.json'),
}, 'source-app');

var targetApp = admin.initializeApp({
  credential: admin.credential.cert('target-project-service-account.json'),
}, 'target-app');

var authFrom = sourceApp.auth();
var authTo = targetApp.auth();

アクセス制御ポリシーで 1 つのワークロードで複数のサービスアカウントの使用を許可しない場合でも、このドキュメントのサンプルコードは使用できますが、ソースプロジェクトのすべてのユーザーをまずストレージシステムにダウンロードしてから、別のワークロードでターゲットプロジェクトにアップロードする必要があります。

プロジェクト間のユーザーの移行

ユーザーを移行するには、admin.auth().listUsers メソッドを呼び出します。このメソッドは、ページ分けされたユーザーのリストを返します。次に、admin.auth().importUsers() を呼び出してターゲットプロジェクトにユーザーをアップロードします。

一度に最大 1,000 ユーザーをダウンロード、またはアップロードできます。

パスワードユーザーの場合は、パスワードハッシュ用のハッシュ構成を指定する必要があります。ハッシュ構成を取得するには、Google Cloud コンソールで Identity Platform の [ユーザー] ページに移動して、[ユーザーのインポート] をクリックします。

次の例は、ユーザーを移行する方法を示しています。

function migrateUsers(userImportOptions, nextPageToken) {
 var pageToken;
 authFrom.listUsers(1000, nextPageToken)
   .then(function(listUsersResult) {
    var users = [];
    listUsersResult.users.forEach(function(user) {
      var modifiedUser = user.toJSON();
      // Convert to bytes.
      if (user.passwordHash) {
       modifiedUser.passwordHash = Buffer.from(user.passwordHash, 'base64');
       modifiedUser.passwordSalt = Buffer.from(user.passwordSalt, 'base64');
      }
      // Delete tenant ID if available. This will be set automatically.
      delete modifiedUser.tenantId;
      users.push(modifiedUser);
    });
    // Save next page token.
    pageToken = listUsersResult.pageToken;
    // Upload current chunk.
    return authTo.importUsers(users, userImportOptions);
   })
   .then(function(results) {
    results.errors.forEach(function(indexedError) {
       console.log('Error importing user ' + indexedError.index);
     });
     // Continue if there is another page.
     if (pageToken) {
         migrateUsers(userImportOptions, pageToken);
     }
   })
   .catch(function(error) {
     console.log('Error importing users:', error);
   });
}
var userImportOptions = {
 hash: {
   algorithm: 'SCRYPT',
   // The following parameters can be obtained from the "Users" page in the
   // Cloud console. The key must be a byte buffer.
   key: Buffer.from('base64-secret', 'base64'),
   saltSeparator: Buffer.from('base64SaltSeparator', 'base64'),
   rounds: 8,
   memoryCost: 14
 }
};

migrateUsers(userImportOptions);

詳しくは、Admin SDK API リファレンスをご覧ください。

テナントへのユーザーの移行

非テナントのプロジェクトからテナントにユーザーを移行することは、プロジェクト間でユーザーを移行する場合とほぼ同じです。

テナントが移行元の Identity Platform プロジェクトとは異なるプロジェクトに属している場合、上記と同じコードを使用しますが、移行先のアプリインスタンスで admin.auth().tenantManager().authForTenant() を呼び出して、importUsers() を呼び出す前に移行先のテナント ID を設定します。

var authTo = targetApp.auth().tenantManager().authForTenant('tenant');

テナント間のユーザーの移行

テナント間のユーザーの移行は、プロジェクト間のユーザーの移行とよく似ていますが、次の 2 つの重要な違いがあります。

新しいテナントにアップロードする前に、古いテナントのユーザーからテナント ID を削除する必要があります。この手順をスキップすると、テナント ID の不一致エラーが発生します。

admin.auth().tenantManager().authForTenant() を呼び出して、移行元テナントと移行先テナントにテナント ID を設定します。

// Migrate from tenant1 to tenant2 in same project.
var authFrom = admin.auth().tenantManager().authForTenant('tenant1');
var authTo = admin.auth().tenantManager().authForTenant('tenant2');

残りのコードは同じです。