如何在Google Cloud Engine上正确配置Firebase服务账号（含FCM）

核心结论 #

现在GCP已废弃实例级OAuth范围的遗留机制，完全通过IAM角色控制权限是当前的标准做法，无需再配置FCM相关的实例范围。

具体操作步骤 #

1. 确认服务账号的IAM权限
   你已给默认服务账号赋予Firebase项目的Editor角色，该角色已包含FCM发送消息所需的全部权限（覆盖firebase.messaging.messages.send等核心权限）。如果需要更细粒度的权限控制，可单独授予Firebase Cloud Messaging Admin预定义角色，但Editor权限已足够满足需求。

2. 移除实例的遗留范围限制
   你的GCE实例之前配置的Cloud Datastore范围属于遗留机制，会限制服务账号可访问的API。需要修改实例的服务账号配置：

   • 进入GCP控制台的GCE实例详情页
   • 找到「服务账号」模块并点击编辑
   • 将权限设置改为**「允许所有Cloud API访问」**，或选择「设置访问范围」后勾选「不限制」（取消之前指定的Datastore等单独范围）
   • 保存配置后重启实例生效

3. 代码无需调整
   你当前的Go代码是正确的：firebase.NewApp(ctx, nil)会自动加载GCE实例默认服务账号的凭据，无需额外配置参数。只要服务账号的IAM权限达标，FCM客户端就能正常发送消息。

错误原因说明 #

你遇到的Request had insufficient authentication scopes错误，是因为实例的旧范围限制未包含FCM相关API的访问权限，且FCM没有对应的遗留范围选项。切换到IAM权限模式后，实例会完全基于服务账号的IAM角色获取权限，不再受范围限制。

内容的提问来源于stack exchange，提问作者Daniele B