Firebase Function创建用户失败：权限不足问题求助

问题场景 #

我在Firebase的onCreate触发器中使用以下代码创建用户：

import { getAuth } from 'firebase-admin/auth'

const auth = getAuth()

await auth.createUser({ email: 'test@test.com' })

index.ts中的初始化代码：

import { initializeApp } from 'firebase-admin/app'

initializeApp()

部署触发后出现错误：

Error: Credential implementation provided to initializeApp() via the "credential" property has insufficient permission to access the requested resource. See https://firebase.google.com/docs/admin/setup for details on how to authenticate this SDK with appropriate permissions.

现状与疑惑 #

• 已部署25个函数，配置了服务账号，且一直在使用Auth SDK（未用于创建用户）
• Firebase Admin SDK主体（firebase-adminsdk）已拥有Firebase Authentication Admin角色，该角色具备Firebase Authentication资源的完整读写权限，理论上足以创建用户
• 猜测可能是Cloud Functions使用了其他无必要权限的主体，但不确定问题所在

排查与解决建议 #

1. 确认Cloud Functions运行时使用的服务账号 #

默认情况下，Cloud Functions会使用{项目ID}@appspot.gserviceaccount.com这个App Engine默认服务账号，而非你配置的firebase-adminsdk账号。即使本地测试用的是adminsdk账号，云端函数默认仍会使用App Engine服务账号。

• 前往Google Cloud控制台的IAM页面，找到{项目ID}@appspot.gserviceaccount.com账号，检查它是否拥有Firebase Authentication Admin角色（或对应的roles/firebase.authAdmin权限）

2. 等待权限生效延迟 #

IAM权限变更通常需要5-10分钟才能完全生效，如果刚添加权限，等待一段时间后重新触发函数测试。

3. 显式指定服务账号初始化Admin SDK（可选） #

如果需要强制函数使用你的firebase-adminsdk账号，可以在初始化时显式传入凭证：

import { initializeApp, cert } from 'firebase-admin/app'
import { getAuth } from 'firebase-admin/auth'
import serviceAccount from './service-account-key.json'

const app = initializeApp({
  credential: cert(serviceAccount)
})

const auth = getAuth(app)

注意：将服务账号密钥文件放在函数目录下，部署时一同上传，同时务必确保密钥文件不提交到版本控制系统。

4. 检查组织级权限限制 #

如果项目归属Google Workspace组织，需确认组织级IAM政策是否限制了服务账号的权限，是否允许该账号拥有Firebase Auth相关操作权限。

内容的提问来源于stack exchange，提问作者Vernon