如何强制第一代Firebase定时云函数通过指定IAM主体调用？

1. 能否强制通过指定IAM主体调用？ #

完全可以，这才是安全的合规做法。定时云函数本质由Cloud Scheduler触发，你只需给Cloud Scheduler使用的服务账号授予函数的cloudfunctions.invoker角色即可：

• 默认场景下，Cloud Scheduler会使用项目的[PROJECT_NUMBER]-compute@developer.gserviceaccount.com服务账号
• 你也可在创建调度任务时指定自定义服务账号
• 给目标服务账号添加Cloud Functions Invoker权限（对应角色roles/cloudfunctions.invoker），即可实现仅指定IAM主体能调用函数，彻底规避未认证访问风险

2. 官方建议授予所有用户调用权限是否不安全？ #

是的，这种做法存在极高安全风险，绝对不适合定时云函数场景：

• allUsers权限意味着任何知晓函数URL的主体都能发起调用，会面临恶意请求滥用的可能（比如耗尽函数配额、执行未授权操作）
• 官方文档中提及的允许未认证调用，仅针对本身需要公开访问的函数（比如面向用户的API接口），定时函数仅需被调度器触发，完全无需开放给所有用户

3. 定时云函数是否始终只能无认证调用？ #

不是。出现未认证错误的核心原因是：默认情况下Firebase云函数要求认证访问，但Cloud Scheduler的服务账号未被授予对应的调用权限。只要给调度器的服务账号配置好正确的IAM权限，就能实现安全的认证触发，完全不需要开启未认证访问。

内容的提问来源于stack exchange，提问作者ctrl freak