如何授权跨GCP项目的Cloud Build部署至Firebase Hosting？

首先，你已经走对了方向——利用服务账号权限而非用户令牌确实是更安全的方案，而且完全可以不用firebase login就能完成跨项目部署。下面分两种方案详细说明：

一、推荐方案：利用Cloud Build服务账号直接认证（无需firebase login） #

你遇到的核心问题是：Firebase CLI默认没有自动使用Cloud Build的服务账号身份，导致无法访问项目B。Cloud Build运行时已经默认以项目A的<id>@cloudbuild.gserviceaccount.com服务账号身份执行，而你已经在项目B的IAM中给这个账号授权了足够的权限，所以只需要让Firebase CLI复用这个身份即可。

修改你的Cloud Build配置步骤如下：

id: firebase_deploy
# 推荐使用官方Firebase CLI镜像，避免自定义镜像的版本问题
name: firebase.tools
entrypoint: sh
args:
  - '-c'
  - |
    # 从Cloud Build的默认认证中获取服务账号的访问令牌
    export FIREBASE_TOKEN=$(gcloud auth print-access-token)
    # 绑定Firebase项目（--token确保用服务账号身份操作）
    firebase use $_FIREBASE_PROJECT_ID --token="$FIREBASE_TOKEN"
    # 应用Hosting目标别名
    firebase target:apply hosting prod $_FIREBASE_HOSTING_TARGET --token="$FIREBASE_TOKEN"
    # 执行部署
    firebase deploy --project=$_FIREBASE_PROJECT_ID --only=hosting,firestore:rules --token="$FIREBASE_TOKEN"

为什么这样有效？ #

• gcloud auth print-access-token会输出当前Cloud Build服务账号的OAuth2令牌，这个令牌拥有你在项目B中配置的所有权限（Firebase Admin、API Keys Admin等）。
• Firebase CLI支持通过--token参数或FIREBASE_TOKEN环境变量接收Google的访问令牌，从而直接以服务账号身份完成操作，完全跳过用户登录流程。
• 改用官方firebase.tools镜像可以确保你使用的是最新版本的Firebase CLI，避免旧版本对服务账号认证的支持问题。

二、备选方案：生成权限受限的firebase login:ci令牌 #

如果你确实需要使用用户令牌（不推荐，因为用户权限通常比服务账号更宽泛），可以在生成令牌时指定最小必要的权限范围，避免授予全量权限：

在本地终端运行以下命令：

firebase login:ci --scopes="https://www.googleapis.com/auth/firebase.hosting,https://www.googleapis.com/auth/firebase,https://www.googleapis.com/auth/cloud-platform"

这个命令会生成仅包含部署Firebase Hosting、操作Firebase项目及必要Cloud Platform权限的令牌，而非默认的全权限。生成后，将令牌作为Cloud Build保密变量（不要明文写入配置），在部署步骤中引用即可：

id: firebase_deploy
name: firebase.tools
entrypoint: sh
args:
  - '-c'
  - |
    firebase use $_FIREBASE_PROJECT_ID
    firebase target:apply hosting prod $_FIREBASE_HOSTING_TARGET
    firebase deploy --project=$_FIREBASE_PROJECT_ID --only=hosting,firestore:rules
env:
  - 'FIREBASE_TOKEN=$_FIREBASE_CI_TOKEN'

额外检查点 #

1. 确认项目B已经启用了Firebase Hosting和Firestore服务（可以在Firebase控制台验证）。
2. 再次核对项目A的Cloud Build服务账号在项目B中的IAM角色：Firebase Admin已经足够覆盖Hosting部署和Firestore规则发布的权限，无需额外添加其他角色（你已配置的API Keys Admin和Service Account User是冗余的，但不影响）。
3. 确保$_FIREBASE_PROJECT_ID变量确实设置为项目B的正确ID，没有拼写错误。

内容的提问来源于stack exchange，提问作者derat