部署Firebase函数时遇Google Cloud Secret权限拒绝，已配置Secret Manager Admin角色

问题场景 #

使用SecretParam管理Firebase函数的密钥，代码示例：

from firebase_functions.params import SecretParam

XYZ_PASSWORD = SecretParam('XYZ_PASSWORD')
...

自身账号已配置Secret Manager Admin角色，但执行部署命令：

firebase deploy --only functions

时出现如下错误：

i  functions: ensuring 3*******-compute@developer.gserviceaccount.com access to secret XYZ_PASSWORD.

Error: HTTP Error: 403, Permission 'secretmanager.secrets.setIamPolicy' denied for resource 'projects/*******/secrets/XYZ_PASSWORD' (or it may not exist).

可能原因及解决办法 #

1. 登录账号与权限账号不匹配 #

Firebase CLI可能使用了未配置权限的账号登录，执行以下命令检查并切换：

# 查看已登录账号列表
firebase login:list
# 切换到拥有权限的账号
firebase login

2. Secret不存在或名称错误 #

错误提示明确提到密钥可能不存在，前往GCP控制台的Secret Manager服务，确认XYZ_PASSWORD密钥已创建，且名称拼写、大小写完全一致。

3. 角色绑定层级不正确 #

Secret Manager Admin角色需要绑定在当前Firebase对应的GCP项目上，而非文件夹或组织层级：

• 进入GCP控制台IAM与管理员页面，找到你的账号
• 确认Secret Manager Admin角色的绑定范围是当前项目，而非其他资源
• 避免误绑定类似角色（如Secret Manager Secret Admin），该角色不包含secretmanager.secrets.setIamPolicy权限

4. 权限未生效 #

Google Cloud权限变更存在延迟，若刚添加角色，需等待10-15分钟后再尝试部署。

5. 手动授权服务账号 #

若以上方法无效，可手动为部署日志中提到的3*******-compute@developer.gserviceaccount.com服务账号授权：

1. 进入GCP控制台Secret Manager，找到XYZ_PASSWORD密钥
2. 进入密钥的IAM页面，点击「添加成员」
3. 输入该服务账号邮箱，赋予Secret Manager Secret Accessor角色并保存
4. 重新执行部署命令

内容的提问来源于stack exchange，提问作者Matheus Ribeiro