Firebase v2函数丢失管理员权限：如何持久化配置服务账号？

问题核心 #

Firebase Functions v2部署后，手动在GCP Run中修改的服务账号会被重置为默认的Compute Engine默认服务账号，导致之前配置的权限失效，函数无法正常运行。以下是两种可行的解决思路：

方案一：永久指定firebase-adminsdk作为函数服务账号（推荐） #

通过配置文件或部署命令，让Firebase在每次部署时自动使用firebase-adminsdk服务账号，避免手动修改后被覆盖：

1. 通过firebase.json全局配置
   在项目根目录的firebase.json文件中，为functions添加serviceAccount字段，指定你的firebase-adminsdk邮箱地址（可在GCP IAM控制台中找到）：

{
  "functions": {
    "source": "functions",
    "serviceAccount": "firebase-adminsdk-xxxx@[你的项目ID].iam.gserviceaccount.com"
  }
}

配置完成后，执行firebase deploy --only functions，部署后的函数会自动使用指定的firebase-adminsdk账号，无需手动修改GCP Run配置。

2. 部署命令临时指定
   如果只需要单次部署指定服务账号，可以在部署命令中添加--service-account参数：

firebase deploy --only functions --service-account=firebase-adminsdk-xxxx@[你的项目ID].iam.gserviceaccount.com

该方式适合临时调整，或在CI/CD流程中动态指定服务账号。

方案二：为Compute Engine默认账号配置必要权限（可选） #

若不想更换服务账号，可以为默认的Compute Engine服务账号（格式为[项目ID]-compute@developer.gserviceaccount.com）添加所需权限，但需遵循最小权限原则，避免过度授权：

• 不要直接赋予Editor这类宽泛权限，而是根据函数实际需求添加具体权限，比如：
  • Cloud Datastore Owner（Firestore操作）
  • Firebase Authentication Admin（身份验证管理）
  • Storage Admin（存储操作）
  • Service Account Token Creator（令牌生成）

注意：该方案存在安全风险，因为Compute Engine默认账号权限范围较广，若被滥用可能导致数据泄露，因此优先推荐方案一。

内容的提问来源于stack exchange，提问作者Andrew-NZ