Firebase Admin Node.js SDK使用external_account凭证遇权限错误求助

你遇到的权限问题大概率是Firebase Admin SDK默认使用的OAuth2作用域与你之前手动使用google-auth-library时的配置不一致，或者权限映射环节存在遗漏。以下是针对性的排查和解决步骤：

1. 手动指定FCM所需的OAuth2作用域 #

Firebase Admin SDK初始化时默认请求的作用域（如https://www.googleapis.com/auth/cloud-platform）可能超出了你当前凭证的权限范围。可以在初始化时明确指定FCM专属作用域，匹配你之前底层调用的权限：

const admin = require('firebase-admin');
const { GoogleAuth } = require('google-auth-library');

// 初始化Google Auth实例并指定FCM作用域
const googleAuth = new GoogleAuth({
  scopes: ['https://www.googleapis.com/auth/firebase.messaging']
});

// 用自定义Google Auth实例初始化Firebase Admin
const firebaseApp = admin.initializeApp({
  credential: admin.credential.fromGoogleAuth(googleAuth),
  projectId: process.env.GOOGLE_PROJECT_ID
});

// 发送消息
firebaseApp.messaging().send({ /* 你的通知 payload */ });

2. 验证身份池的权限映射配置 #

确保AWS角色对应的Google身份池身份拥有模拟目标服务账号的权限：

• 给映射后的Google身份分配roles/iam.serviceAccountTokenCreator角色，允许其生成目标服务账号的访问令牌。
• 检查身份池的属性映射规则，确保AWS角色的权限正确传递到Google身份。

3. 单独测试凭证有效性 #

先脱离Firebase Admin SDK，用google-auth-library验证凭证能否获取到有效令牌：

const { GoogleAuth } = require('google-auth-library');

async function validateCredential() {
  const auth = new GoogleAuth({
    scopes: ['https://www.googleapis.com/auth/firebase.messaging']
  });
  try {
    const token = await auth.getAccessToken();
    console.log('获取到的访问令牌:', token);
    // 可选：解码令牌查看包含的作用域和身份信息
  } catch (err) {
    console.error('凭证验证失败:', err.message);
  }
}

validateCredential();

如果这个测试失败，说明凭证本身的配置或权限有问题，需要检查AWS角色、Google身份池、目标服务账号的权限链；如果测试成功，那问题肯定出在Firebase Admin SDK的默认作用域上，用步骤1的方法即可解决。

4. 确认目标服务账号的FCM权限 #

确保被模拟的Google服务账号拥有Firebase Cloud Messaging Admin角色（roles/firebase.messagingAdmin），该角色允许发送FCM消息。虽然之前底层调用正常，但Admin SDK可能需要明确的角色权限而非细粒度的API权限。

内容的提问来源于stack exchange，提问作者Brummbaer