@yoonion/mimi-seed-mcp 0.1.0 → 0.2.0

package/README.md

@@ -48,9 +48,34 @@ npx -y @yoonion/mimi-seed-mcp mimi-seed-appstore-auth
 | Firebase | `firebase_list_projects` / `firebase_create_android_app` / `firebase_get_android_config` / `firebase_enable_service` |
 | AdMob | `admob_list_apps` / `admob_create_ad_unit` / `admob_get_today_earnings` / `admob_get_report` |
 | Google Play | `playstore_list_tracks` / `playstore_list_subscriptions` / `playstore_reply_review` / **`playstore_verify_service_account`** |
+| Google Cloud IAM | `iam_list_service_accounts` / `iam_create_service_account` / `iam_list_keys` / **`iam_create_key`** / `iam_add_iam_policy_binding` |
 | App Store Connect | `appstore_list_apps` / `appstore_list_builds` / `appstore_list_beta_groups` |
 | 상태 | `mimi_seed_auth_status` |
 
+## End-to-end: 서비스 계정 → JSON 키 → Play Console 권한
+
+서버(예: [onesub](https://github.com/jeonghwanko/onesub))가 Google Play 영수증을 백그라운드로 검증하려면 서비스 계정 JSON이 필요합니다. Claude에게 한 번에 시킬 수 있어요:
+
+> 1. `my-project`에 `onesub-play-verifier` 서비스 계정 만들고
+> 2. JSON 키 발급받아서
+> 3. `com.yourapp.id`에 대해 검증
+
+Claude가 연쇄 호출:
+
+- `iam_create_service_account("my-project", "onesub-play-verifier", "onesub Play verifier")`
+- `iam_create_key("onesub-play-verifier@my-project.iam.gserviceaccount.com")` → JSON 반환
+- `playstore_verify_service_account(<json>, "com.yourapp.id")` → 아직 Play Console 권한이 없어서 403 반환 기대
+
+그 다음 **Play Console에서 수동으로** (또는 별도 androidpublisher.users API 호출):
+
+- Users and permissions → 서비스 계정 이메일 초대
+- **View financial data, orders, and cancellation survey responses** 체크
+- **~5분 대기** 후 `playstore_verify_service_account` 재실행 → ✓
+
+마지막으로 JSON을 `GOOGLE_SERVICE_ACCOUNT_KEY` 서버 env에 넣으면 Play 영수증 검증 가능.
+
+> Cloud IAM 역할과 Play Console 권한은 다릅니다. `iam_add_iam_policy_binding`은 Cloud IAM 역할(예: `roles/iam.serviceAccountTokenCreator`)만 부여 — Play Console의 "View financial data"는 별도.
+
 ## `playstore_verify_service_account` — 서비스 계정 JSON 검증
 
 [onesub](https://github.com/jeonghwanko/onesub) 같은 서버가 Google Play 영수증을 백그라운드로 검증하려면 OAuth가 아니라 **서비스 계정 JSON**이 필요. 이 도구는 JSON을 붙여넣으면 단계별로 확인:

package/dist/iam/tools.d.ts

@@ -0,0 +1,45 @@
+import type { OAuth2Client } from 'google-auth-library';
+export declare function listServiceAccounts(auth: OAuth2Client, projectId: string): Promise<{
+    email: string | null | undefined;
+    displayName: string | null | undefined;
+    uniqueId: string | null | undefined;
+    disabled: boolean;
+}[]>;
+export declare function createServiceAccount(auth: OAuth2Client, projectId: string, accountId: string, displayName: string): Promise<{
+    email: string | null | undefined;
+    uniqueId: string | null | undefined;
+    displayName: string | null | undefined;
+    projectId: string | null | undefined;
+}>;
+export declare function createServiceAccountKey(auth: OAuth2Client, serviceAccountEmail: string): Promise<{
+    keyId: string | null;
+    clientEmail: string | undefined;
+    projectId: string | undefined;
+    json: string;
+}>;
+export declare function listServiceAccountKeys(auth: OAuth2Client, serviceAccountEmail: string): Promise<{
+    id: string | null;
+    keyType: string | null | undefined;
+    validBeforeTime: string | null | undefined;
+    validAfterTime: string | null | undefined;
+}[]>;
+/**
+ * 프로젝트의 IAM 정책을 read-modify-write 해서 member에게 role 부여.
+ * 이미 같은 (role, member) 바인딩이 있으면 no-op.
+ *
+ * member 예:
+ *   'serviceAccount:my-sa@my-project.iam.gserviceaccount.com'
+ *   'user:alice@example.com'
+ *   'group:admins@example.com'
+ *
+ * 자주 쓰는 role 예:
+ *   'roles/iam.serviceAccountUser'         — 서비스 계정으로 위임 가능
+ *   'roles/iam.serviceAccountTokenCreator' — 서비스 계정의 단기 토큰 발급
+ *   'roles/editor' / 'roles/owner'         — 광범위 (조심)
+ */
+export declare function addProjectIamPolicyBinding(auth: OAuth2Client, projectId: string, member: string, role: string): Promise<{
+    added: boolean;
+    role: string;
+    member: string;
+    etag: string | null | undefined;
+}>;

package/dist/iam/tools.js

@@ -0,0 +1,126 @@
+import { google } from 'googleapis';
+/**
+ * Google Cloud IAM + Cloud Resource Manager 래퍼.
+ *
+ * 사용자가 mimi-seed-mcp로 "서비스 계정 만들기 → JSON 키 발급 → Cloud IAM
+ * 역할 부여"를 자동화할 때 쓰는 도구들. (Play Console의 'View financial
+ * data' 권한은 여기서 부여하는 Cloud IAM 역할과는 별개 — 그건 Play Console
+ * Users and permissions에서 androidpublisher.users API 또는 수동으로.)
+ */
+const iam = () => google.iam('v1');
+const crm = () => google.cloudresourcemanager('v1');
+// ─── 서비스 계정 조회 ───
+export async function listServiceAccounts(auth, projectId) {
+    const res = await iam().projects.serviceAccounts.list({
+        auth,
+        name: `projects/${projectId}`,
+        pageSize: 100,
+    });
+    return (res.data.accounts ?? []).map((a) => ({
+        email: a.email,
+        displayName: a.displayName,
+        uniqueId: a.uniqueId,
+        disabled: a.disabled ?? false,
+    }));
+}
+// ─── 서비스 계정 생성 ───
+export async function createServiceAccount(auth, projectId, accountId, displayName) {
+    const res = await iam().projects.serviceAccounts.create({
+        auth,
+        name: `projects/${projectId}`,
+        requestBody: {
+            accountId,
+            serviceAccount: { displayName },
+        },
+    });
+    return {
+        email: res.data.email,
+        uniqueId: res.data.uniqueId,
+        displayName: res.data.displayName,
+        projectId: res.data.projectId,
+    };
+}
+// ─── 키 발급 (JSON 다운로드) ───
+export async function createServiceAccountKey(auth, serviceAccountEmail) {
+    const res = await iam().projects.serviceAccounts.keys.create({
+        auth,
+        name: `projects/-/serviceAccounts/${serviceAccountEmail}`,
+        requestBody: {
+            keyAlgorithm: 'KEY_ALG_RSA_2048',
+            privateKeyType: 'TYPE_GOOGLE_CREDENTIALS_FILE',
+        },
+    });
+    // privateKeyData는 base64로 인코딩된 JSON 전체 — 디코딩해서 반환.
+    // 주의: 이 JSON은 영구 자격증명이므로 절대 로그에 남기거나 원격으로 보내면 안 됨.
+    const privateKeyData = res.data.privateKeyData;
+    if (!privateKeyData)
+        throw new Error('No privateKeyData in response');
+    const jsonString = Buffer.from(privateKeyData, 'base64').toString('utf-8');
+    // 파싱해서 필드 일부만 미리보기로 노출 + 전체 JSON도 함께 반환
+    const parsed = JSON.parse(jsonString);
+    return {
+        keyId: res.data.name?.split('/').pop() ?? null,
+        clientEmail: parsed.client_email,
+        projectId: parsed.project_id,
+        json: jsonString,
+    };
+}
+// ─── 키 목록 ───
+export async function listServiceAccountKeys(auth, serviceAccountEmail) {
+    const res = await iam().projects.serviceAccounts.keys.list({
+        auth,
+        name: `projects/-/serviceAccounts/${serviceAccountEmail}`,
+    });
+    return (res.data.keys ?? []).map((k) => ({
+        id: k.name?.split('/').pop() ?? null,
+        keyType: k.keyType, // 'USER_MANAGED' | 'SYSTEM_MANAGED'
+        validBeforeTime: k.validBeforeTime,
+        validAfterTime: k.validAfterTime,
+    }));
+}
+// ─── 프로젝트 IAM 정책에 역할 바인딩 추가 ───
+/**
+ * 프로젝트의 IAM 정책을 read-modify-write 해서 member에게 role 부여.
+ * 이미 같은 (role, member) 바인딩이 있으면 no-op.
+ *
+ * member 예:
+ *   'serviceAccount:my-sa@my-project.iam.gserviceaccount.com'
+ *   'user:alice@example.com'
+ *   'group:admins@example.com'
+ *
+ * 자주 쓰는 role 예:
+ *   'roles/iam.serviceAccountUser'         — 서비스 계정으로 위임 가능
+ *   'roles/iam.serviceAccountTokenCreator' — 서비스 계정의 단기 토큰 발급
+ *   'roles/editor' / 'roles/owner'         — 광범위 (조심)
+ */
+export async function addProjectIamPolicyBinding(auth, projectId, member, role) {
+    const current = await crm().projects.getIamPolicy({
+        auth,
+        resource: projectId,
+        requestBody: {},
+    });
+    const policy = current.data;
+    const bindings = policy.bindings ?? [];
+    const existing = bindings.find((b) => b.role === role);
+    let added = false;
+    if (existing) {
+        const members = existing.members ?? [];
+        if (!members.includes(member)) {
+            existing.members = [...members, member];
+            added = true;
+        }
+    }
+    else {
+        bindings.push({ role, members: [member] });
+        added = true;
+    }
+    if (!added) {
+        return { added: false, role, member, etag: policy.etag };
+    }
+    const updated = await crm().projects.setIamPolicy({
+        auth,
+        resource: projectId,
+        requestBody: { policy: { bindings, etag: policy.etag } },
+    });
+    return { added: true, role, member, etag: updated.data.etag };
+}

package/dist/index.js

@@ -7,6 +7,7 @@ import * as firebase from './firebase/tools.js';
 import * as admob from './admob/tools.js';
 import * as playstore from './playstore/tools.js';
 import * as appstore from './appstore/tools.js';
+import * as iam from './iam/tools.js';
 const server = new McpServer({
     name: 'mimi-seed',
     version: '0.1.0',
@@ -374,6 +375,113 @@ server.tool('playstore_verify_service_account', [
     return { content: [{ type: 'text', text: lines.join('\n') }] };
 });
 // ══════════════════════════════════════════════════
+// Google Cloud IAM Tools
+// ══════════════════════════════════════════════════
+// 서비스 계정 생성 → JSON 키 발급 → 프로젝트 IAM 역할 부여까지 자동화.
+// Play Console의 'View financial data' 권한은 Cloud IAM이 아니라 Play Console
+// Users and permissions에서 별도로 부여해야 함 (androidpublisher.users API
+// 또는 수동 UI).
+server.tool('iam_list_service_accounts', '주어진 projectId의 서비스 계정 목록. 이메일 / displayName / disabled 상태 반환.', {
+    projectId: z.string().describe('Google Cloud 프로젝트 ID'),
+}, async ({ projectId }) => {
+    const auth = requireAuth();
+    const accounts = await iam.listServiceAccounts(auth, projectId);
+    return { content: [{ type: 'text', text: JSON.stringify(accounts, null, 2) }] };
+});
+server.tool('iam_create_service_account', '새 서비스 계정 생성. accountId는 이메일의 로컬 파트 (예: "onesub-play-verifier" → onesub-play-verifier@<project>.iam.gserviceaccount.com).', {
+    projectId: z.string().describe('Google Cloud 프로젝트 ID'),
+    accountId: z
+        .string()
+        .regex(/^[a-z][a-z0-9-]{4,28}[a-z0-9]$/, 'lowercase letters, digits, hyphens; 6-30 chars')
+        .describe('서비스 계정 ID (이메일 로컬 파트)'),
+    displayName: z.string().describe('사람이 읽을 표시 이름 (예: "onesub Play verifier")'),
+}, async ({ projectId, accountId, displayName }) => {
+    const auth = requireAuth();
+    const account = await iam.createServiceAccount(auth, projectId, accountId, displayName);
+    return {
+        content: [
+            {
+                type: 'text',
+                text: [
+                    '✓ 서비스 계정 생성 완료',
+                    '',
+                    `**email**: \`${account.email}\``,
+                    `**displayName**: ${account.displayName}`,
+                    `**uniqueId**: \`${account.uniqueId}\``,
+                    '',
+                    '다음 단계:',
+                    `1. \`iam_create_key("${account.email}")\` — JSON 키 발급`,
+                    `2. \`playstore_verify_service_account\` 로 Play Console 권한까지 확인 (Play Console에서 수동으로 이메일 초대 + 'View financial data' 권한 부여는 별도)`,
+                ].join('\n'),
+            },
+        ],
+    };
+});
+server.tool('iam_list_keys', '주어진 서비스 계정의 기존 키 목록. keyId / keyType / 만료시간 반환. 회수할 키 찾을 때 사용.', {
+    serviceAccount: z.string().describe('서비스 계정 이메일'),
+}, async ({ serviceAccount }) => {
+    const auth = requireAuth();
+    const keys = await iam.listServiceAccountKeys(auth, serviceAccount);
+    return { content: [{ type: 'text', text: JSON.stringify(keys, null, 2) }] };
+});
+server.tool('iam_create_key', [
+    '주어진 서비스 계정의 새 JSON 키를 발급. 응답에 전체 JSON 포함 — 그대로 onesub의 GOOGLE_SERVICE_ACCOUNT_KEY 환경변수로 쓸 수 있음.',
+    '주의: 반환된 JSON은 영구 자격증명이므로 안전하게 보관. 한 서비스 계정당 키 최대 10개 (기존 키 회수 후 발급 필요하면 iam_list_keys로 먼저 확인).',
+].join(' '), {
+    serviceAccount: z.string().describe('서비스 계정 이메일'),
+}, async ({ serviceAccount }) => {
+    const auth = requireAuth();
+    const key = await iam.createServiceAccountKey(auth, serviceAccount);
+    return {
+        content: [
+            {
+                type: 'text',
+                text: [
+                    '✓ 새 키 발급 완료 — 아래 JSON을 안전하게 보관하세요. **다시 볼 수 없습니다.**',
+                    '',
+                    `**keyId**: \`${key.keyId}\``,
+                    `**clientEmail**: \`${key.clientEmail}\``,
+                    `**projectId**: \`${key.projectId}\``,
+                    '',
+                    '## Service account JSON',
+                    '```json',
+                    key.json,
+                    '```',
+                    '',
+                    'onesub 서버 `GOOGLE_SERVICE_ACCOUNT_KEY` env에 한 줄로 넣을 때:',
+                    '```bash',
+                    "cat service-account.json | tr -d '\\n' | jq -c .",
+                    '```',
+                ].join('\n'),
+            },
+        ],
+    };
+});
+server.tool('iam_add_iam_policy_binding', [
+    '프로젝트 IAM 정책에 (member → role) 바인딩 추가. 이미 같은 조합이 있으면 no-op.',
+    'member 형식: `serviceAccount:<email>` / `user:<email>` / `group:<email>`.',
+    '주의: 이건 Google Cloud IAM 역할입니다. Play Console의 "View financial data" 권한은 별도 — Play Console → Users and permissions에서 부여.',
+].join(' '), {
+    projectId: z.string().describe('Google Cloud 프로젝트 ID'),
+    member: z
+        .string()
+        .describe('권한 받을 주체 (예: serviceAccount:my-sa@my-project.iam.gserviceaccount.com)'),
+    role: z.string().describe('IAM 역할 (예: roles/iam.serviceAccountTokenCreator)'),
+}, async ({ projectId, member, role }) => {
+    const auth = requireAuth();
+    const result = await iam.addProjectIamPolicyBinding(auth, projectId, member, role);
+    return {
+        content: [
+            {
+                type: 'text',
+                text: result.added
+                    ? `✓ 바인딩 추가: \`${member}\` → \`${role}\``
+                    : `• 이미 존재: \`${member}\` → \`${role}\` (no-op)`,
+            },
+        ],
+    };
+});
+// ══════════════════════════════════════════════════
 // App Store Connect Tools
 // ══════════════════════════════════════════════════
 server.tool('appstore_list_apps', 'App Store Connect 앱 목록 조회', {}, async () => {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@yoonion/mimi-seed-mcp",
-  "version": "0.1.0",
+  "version": "0.2.0",
   "description": "Mimi Seed MCP server — Firebase + AdMob + Google Play + App Store management for Claude Code / Cursor / any MCP client.",
   "type": "module",
   "bin": {