Firebase Admin SDK服务账号密钥创建受限，求助解决方案

问题场景 #

关联了域名的Firebase项目，在添加推送通知密钥时触发错误：

此服务账号不允许创建密钥，请检查是否有组织策略限制服务账号密钥创建

已尝试的无效方案：

• 管理员账号拥有「Organization Policy Administrator」权限
• firebase-adminsdk-xxx@xxx.iam.gserviceaccount.com账号添加了「Service Account Token Creator」权限

可行排查/解决步骤 #

1. 检查组织级别的服务账号密钥禁用策略
   进入Google Cloud控制台的「组织政策」模块，找到约束constraints/iam.disableServiceAccountKeyCreation：

   • 若设置为「强制启用」，则直接阻止所有服务账号创建密钥，需改为「不强制」
   • 若设置为「仅允许特定成员」，需将你的firebase-adminsdk-xxx@xxx.iam.gserviceaccount.com账号加入允许成员列表

2. 确认项目级别的组织策略继承
   部分组织会允许项目单独配置策略，进入项目的「组织政策」页面，同样检查上述约束，确保项目未单独启用密钥创建限制

3. 补全服务账号的核心权限

   • 确保操作的管理员账号拥有Owner角色（而非零散的管理员权限，避免权限覆盖不全）
   • 给firebase-adminsdk-xxx@xxx.iam.gserviceaccount.com添加Service Account Admin角色，该角色直接管控服务账号密钥的创建操作

4. 通过审计日志定位精准原因
   开启IAM的「数据访问审计日志」，触发密钥创建操作后查看日志中的拒绝事件，日志会明确标注是哪条组织策略或权限缺失导致的错误，便于针对性修复

5. 适配企业域名的安全策略要求
   若项目关联的是企业域名，部分组织会强制禁用长期服务账号密钥，要求使用工作负载身份池生成临时令牌。这种情况下需改用工作负载身份认证方式，替代创建长期密钥的操作

内容的提问来源于stack exchange，提问作者Handelika