求Firebase部署专用服务账号所需最小权限IAM角色的官方文档

官方明确的最小权限拆分（按部署目标） #

Firebase官方文档针对CI/CD部署场景，给出了不同产品所需的最小角色配置：

• Firebase Hosting部署：roles/firebase.hostingAdmin（覆盖站点配置、文件上传、版本发布全流程；若仅需部署文件，可使用roles/firebase.hostingEditor）
• Firebase Functions部署：roles/cloudfunctions.developer（负责函数代码上传、版本管理、部署触发）

  注意：函数运行时的数据库访问权限，需要配置给函数默认服务账号（[项目ID]@appspot.gserviceaccount.com），而非CI部署用的服务账号，这是常见混淆点

• Firestore/Realtime Database规则与索引部署：
  • Firestore：roles/firestore.admin（含规则管理、索引配置权限）
  • Realtime Database：roles/firebase.databaseAdmin（含规则管理、实例配置权限）
• Firebase Storage部署：roles/storage.admin（覆盖存储桶配置、文件上传权限）

官方权限矩阵参考 #

Firebase官方提供了按产品维度的权限对照表，明确了CI部署场景下的权限边界：

部署操作的权限分为两类：一是Firebase CLI的全局操作权限（如项目初始化、部署命令执行），二是具体产品的资源管理权限（如Hosting站点的读写、Functions的部署权限）。官方推荐按部署的产品组合，给CI服务账号添加对应最小角色，而非使用宽泛的Editor角色。

常见问题官方提示 #

• 若出现Functions无法连接数据库的情况，检查函数运行时服务账号的权限，而非CI部署用的服务账号：函数默认使用App Engine服务账号，需要给该账号配置数据库的datastore.user（Firestore）或firebase.databaseReader/writer（Realtime Database）角色。
• 避免过度授权：不要给CI服务账号添加Editor或Owner这类宽泛角色，严格按照部署的产品组合分配对应最小角色。

内容的提问来源于stack exchange，提问作者Chris