启用Identity Platform后Firebase函数访问Firestore遇invalid_rapt错误

问题背景 #

在Firebase控制台启用Identity Platform用于用户身份验证（主要记录用户日志），初始几小时一切正常，但次日通过本地Firebase函数模拟器，使用默认Firebase Admin服务账号访问云端Firestore时触发错误。错误提示指向Google Workspace域的会话时长设置，但服务账号理论上不应受此类用户级限制，已向域管理员提交配置申请，但怀疑需要额外策略配置放行服务账号，尝试过类似问题的解决方案但无效。

错误信息 #

{
  "error": "invalid_grant",
  "error_description": "reauth related error (invalid_rapt)",
  "error_uri": "https://support.google.com/a/answer/9368756",
  "error_subtype": "invalid_rapt"
}

触发错误的代码 #

const admin = require("firebase-admin");
admin.initializeApp();
const myData = await admin
      .firestore()
      .doc(`/path/to/needed/data`)
      .get()

解决建议 #

• 检查服务账号IAM权限
  确认服务账号已拥有Cloud Datastore User或Firebase Admin SDK Administrator Service Agent角色，这两个角色足以支撑Admin SDK访问Firestore的操作。避免过度授权，但确保权限覆盖所需读写动作。

• 验证本地模拟器的身份配置
  本地运行模拟器时，务必确认使用的是服务账号密钥文件而非普通用户凭证：

  • 设置环境变量GOOGLE_APPLICATION_CREDENTIALS指向服务账号密钥JSON文件路径；
  • 重启模拟器并清除本地缓存，避免旧会话凭证残留导致身份验证异常。

• 排查域级安全策略的影响
  联系域管理员检查Google Workspace全局安全设置：

  • 查看安全 > 访问和数据控制 > 会话控制中的配置，确认是否启用了强制重新认证或会话时长限制，且是否未将服务账号纳入例外；
  • 检查是否有针对服务账号的额外安全规则，比如强制MFA或身份验证策略，这些可能意外限制服务账号的访问。

• 临时绕过本地模拟器测试
  若需紧急验证功能，直接将函数部署到云端运行。云端Firebase函数默认使用内置服务账号，身份验证流程更稳定，可排除本地模拟器的配置问题。

• 检查Firebase项目的关联配置

  • 进入Firebase控制台身份验证 > 设置 > 授权域，确认已添加正确的域（虽服务账号访问不依赖此配置，但部分全局规则可能关联）；
  • 检查Identity Platform的安全规则，确认没有针对服务账号的访问限制（Admin SDK默认绕过Firestore安全规则，但极端情况下可能存在配置冲突）。

内容的提问来源于stack exchange，提问作者sol