使用C#的Google.Apis.Appengine.v1创建Firestore数据库遇403权限问题如何解决？

1. 确认API使用正确性 #

你当前代码调用的是App Engine的Apps.Create接口，但创建Cloud Firestore数据库应当使用Firebase Management API或Cloud Firestore Admin API，而非App Engine API。App Engine的创建接口仅对应App Engine资源权限，与Firestore操作无关。

2. 为服务账号分配对应权限 #

你使用GoogleCredential.GetApplicationDefault()获取的默认应用凭据（通常为服务账号），需要添加以下至少一种权限：

• Firebase Admin角色（roles/firebase.admin）：拥有Firebase全资源管理权限，适配Firestore实例创建场景
• Cloud Firestore Admin角色（roles/datastore.owner）：可管理Cloud Firestore数据库的创建与配置
• App Engine Admin角色（roles/appengine.appAdmin）：若坚持使用当前App Engine API方式，需配置该权限，但不推荐此路径创建Firestore

操作步骤：

• 打开Google Cloud控制台，进入IAM页面
• 定位代码使用的服务账号（本地运行对应本地凭据账号，GCP环境运行对应默认服务账号）
• 点击「添加权限」，搜索并添加上述任一角色后保存

3. 确认目标API已启用 #

确保所需API已在GCP项目中启用：

• 若使用Firebase Management API：在控制台搜索「Firebase Management API」，确认状态为已启用
• 若使用App Engine API：搜索「App Engine Admin API」，确认状态为已启用

4. 修正代码（推荐使用Firebase Management API） #

创建Firestore数据库的标准代码示例如下：

using Google.Apis.FirebaseManagement.v1;
using Google.Apis.FirebaseManagement.v1.Data;
using Google.Apis.Auth.OAuth2;
using Google.Apis.Services;

private static FirebaseManagementService _firebaseService;

public static void InitializeFirebaseService()
{
    GoogleCredential credential = GoogleCredential.GetApplicationDefault();
    if (credential.IsCreateScopedRequired)
    {
        credential = credential.CreateScoped(FirebaseManagementService.Scope.CloudPlatform);
    }

    _firebaseService = new FirebaseManagementService(new BaseClientService.Initializer()
    {
        HttpClientInitializer = credential,
        ApplicationName = "YourAppName"
    });
}

public static void CreateFirestoreDatabase()
{
    InitializeFirebaseService();
    var database = new GoogleFirestoreAdminV1Database
    {
        Type = "FIRESTORE_NATIVE",
        LocationId = "us-east1"
    };

    var request = _firebaseService.Projects.Locations.Databases.Create(database, $"projects/{CloudManager.ProjectId}/locations/us-east1");
    request.Execute();
}

5. 验证凭据有效性 #

• 本地运行时，确保环境变量GOOGLE_APPLICATION_CREDENTIALS指向正确的服务账号密钥文件
• GCP环境（如Cloud Functions、App Engine）运行时，确认默认服务账号已配置足够权限

内容的提问来源于stack exchange，提问作者Samaritan