在GCP上使用ADC/服务账号访问Firestore遇权限拒绝问题

你的问题核心在于：服务端SDK（包括@google-cloud/firestore和firebase-admin）不受Firestore安全规则约束，而是依赖GCP IAM权限控制。

具体原因 #

本地运行时，你的应用默认凭据（ADC）会优先使用本地gcloud工具关联的个人账号，这类账号通常拥有项目管理员权限，所以能正常访问Firestore。但部署到GCP后，程序会自动使用所在资源（比如Cloud Functions、Cloud Run、VM实例等）的默认服务账号，而该账号默认没有Firestore的读写权限，因此触发PERMISSION_DENIED错误——哪怕你把Firestore安全规则设为全开也没用，因为服务端SDK根本不看安全规则。

解决步骤 #

1. 确认当前使用的服务账号：

   • 如果是Cloud Functions/Cloud Run：在对应资源的控制台详情页，找到「服务账号」字段，复制账号邮箱（格式类似[项目ID]@appspot.gserviceaccount.com）。
   • 如果是VM实例：在实例详情页的「服务账号」板块查看账号信息。

2. 为服务账号添加Firestore权限：

   • 进入GCP控制台的IAM页面，找到刚才复制的服务账号。
   • 点击账号右侧的编辑按钮，添加对应权限角色：
     • 只读需求：添加Cloud Datastore Reader角色。
     • 读写需求：添加Cloud Datastore User或Cloud Datastore Owner角色（推荐尽量用权限更小的前者）。
   • 保存修改，等待几分钟让权限生效即可。

额外提醒 #

• Firestore安全规则仅对客户端SDK（比如Web、iOS、Android的Firebase客户端）生效，服务端SDK完全绕过规则，只认IAM权限。
• 遵循最小权限原则，不要给服务账号分配超出实际需求的权限，减少安全风险。

内容的提问来源于stack exchange，提问作者Nick Jonas