如何将Firebase服务账号关联至不同GCP项目（GKE部署场景）

核心逻辑 #

你的需求是让GKE所在的project-a中的服务账号，拥有访问Firebase项目project-b资源的权限。本质是通过GCP IAM系统，给project-a的服务账号授予project-b的Firebase相关权限，再在应用中用该身份初始化Firebase Admin SDK。

具体操作步骤 #

1. 准备project-a的服务账号 #

• 若project-a中没有专用服务账号，在GCP控制台创建一个（例如命名为firebase-gke-service-account）；也可使用现有服务账号，但推荐用专用账号降低权限风险。
• 导出该服务账号的JSON密钥文件，后续配置会用到。

2. 为project-a服务账号授予project-b的Firebase权限 #

• 打开GCP控制台的project-b，进入IAM页面。
• 点击「添加」，在「新成员」输入框中填入project-a服务账号的完整邮箱（格式：[服务账号名]@project-a-12345678.iam.gserviceaccount.com）。
• 在「角色」列表中选择对应权限：
  • 全权限管理：选Firebase Admin SDK Administrator Service Agent
  • 只读访问：选Firebase Admin SDK Viewer
  • 细分权限：按需选择Firebase Authentication Admin「Firebase Realtime Database Admin」等角色
• 点击「保存」完成权限配置。

3. 在GKE中配置身份认证 #

推荐使用Workload Identity（更安全，无需挂载密钥文件）：

• 先在project-a的GKE集群中启用Workload Identity功能。
• 绑定K8s服务账号与GCP服务账号，执行以下命令：

  gcloud iam service-accounts add-iam-policy-binding firebase-gke-service-account@project-a-12345678.iam.gserviceaccount.com \
    --role roles/iam.workloadIdentityUser \
    --member "serviceAccount:project-a-12345678.svc.id.goog[你的K8s命名空间/你的K8s服务账号名]"
  

• 若使用密钥文件方式，将JSON密钥文件创建为K8s Secret，挂载到Pod的指定路径。

4. 初始化Firebase Admin SDK #

在应用代码中指定project-b的项目ID，用project-a的服务账号身份初始化：

• 若用Workload Identity：

  import firebase_admin
  from firebase_admin import credentials
  
  cred = credentials.ApplicationDefault()
  firebase_admin.initialize_app(cred, {
      'projectId': 'project-b'
  })
  

• 若用密钥文件：

  import firebase_admin
  from firebase_admin import credentials
  
  cred = credentials.Certificate('/path/to/project-a-sa-key.json')
  firebase_admin.initialize_app(cred, {
      'projectId': 'project-b'
  })
  

5. 验证功能 #

部署应用到GKE后，测试Firebase相关操作（如读取Firestore、发送FCM），确认能正常访问project-b的资源。

内容的提问来源于stack exchange，提问作者Mark