Firebase扩展回填数据时cloudtasks.tasks.create权限缺失排查

• 确认扩展专属服务账号的权限
  Firebase扩展在安装时会创建自己的专属服务账号，格式为extension-[你的扩展ID]@[项目ID].iam.gserviceaccount.com。你之前配置的几个账号可能不包含这个SA，需要给它授予Cloud Tasks Enqueuer角色。可以在IAM控制台搜索这个账号，检查权限配置。

• 检查报错中的具体主体（Principal）
  去Cloud Logging中找到完整的报错日志，查看principal字段对应的具体账号。有时候报错提示的账号可能不是你之前配置的那几个，比如扩展系统的临时执行账号，找到实际缺失权限的账号再针对性授权。

• 验证权限绑定的资源范围
  确保Cloud Tasks Enqueuer角色是绑定到正确的资源上：

  • 如果是项目级绑定，确认绑定已生效（IAM权限变更可能有1-2分钟延迟）；
  • 如果是队列级绑定，直接到Cloud Tasks控制台找到目标队列，在IAM页签给对应SA添加Enqueuer角色，避免项目级权限的继承问题。

• 核对角色的权限包含项
  确认你给账号添加的确实是roles/cloudtasks.enqueuer角色，该角色明确包含cloudtasks.tasks.create权限。不要误加类似但权限不足的角色（比如roles/cloudtasks.viewer）。可以在IAM控制台的角色详情页查看该角色的权限列表，确认目标权限存在。

• 检查extension.yaml中的队列配置
  确认taskQueueTrigger的配置是否指定了正确的队列区域和名称：

  • 如果队列是扩展自动创建的，确保配置中的location和项目的默认区域一致；
  • 如果使用自定义队列，确认队列已存在，且SA的权限覆盖该队列所在的区域。

内容的提问来源于stack exchange，提问作者Always Learner