在Google Cloud控制台为默认计算服务账号授予Firebase Admin SDK角色是否安全？能否强制v2云函数使用firebase-adminsdk账号？

1. 给「默认计算服务账号」添加「Firebase Admin SDK管理员服务代理」角色安全吗？ #

• 这个角色的权限是专门为Admin SDK操作设计的，仅包含Firebase相关的管理权限，不会过度开放GCP其他核心资源（比如虚拟机、存储桶的完全控制权）的访问权限。
• 安全与否取决于你的项目实际情况：
  • 如果只有Cloud Functions v2在使用这个默认账号，且你的函数代码无注入漏洞、均为可信代码，那么授予该角色是相对安全的。
  • 但要注意：默认服务账号的权限会被项目内所有使用它的GCP服务共享——若你还有其他服务（比如Compute Engine实例）也使用这个账号，那这些服务也会获得Admin SDK的操作权限，会扩大风险范围。
  • 建议遵循最小权限原则：能为单个函数配置专属服务账号就尽量不用默认账号，或者限制默认账号的使用范围，这样更稳妥。

2. 能不能强制v2函数使用「firebase-adminsdk」服务账号？ #

• 可以实现，无需全局强制，直接为单个v2函数指定该服务账号即可：
  • 使用gcloud部署时指定：

    gcloud functions deploy 你的函数名 \
      --gen2 \
      --runtime nodejs20 \
      --service-account firebase-adminsdk-你的后缀@你的项目ID.iam.gserviceaccount.com
    

  • 或者在firebase.json中配置：

    {
      "functions": [
        {
          "source": "functions",
          "codebase": "default",
          "serviceAccount": "firebase-adminsdk-你的后缀@你的项目ID.iam.gserviceaccount.com"
        }
      ]
    }
    

• 补充说明：「firebase-adminsdk」账号是Firebase自动创建的，默认已经具备Admin SDK所需权限，指定该账号后，v2函数就会用它执行，无需额外配置权限。

内容的提问来源于stack exchange，提问作者ctrl freak