Firestore触发器调用Cloud Function权限不足，需配置何种权限？

为什么会涉及Cloud Tasks？ #

Firestore的后台触发器（比如onCreate）实际是通过Cloud Tasks调度执行的，所以Cloud Functions需要借助Cloud Tasks的服务账号完成触发流程，这就是报错关联Cloud Tasks资源的原因。

缺少权限的主体是谁？ #

报错里提到的缺失权限的主体，是你的Cloud Functions运行服务账号——通常是项目默认的[你的项目ID]@appspot.gserviceaccount.com，如果是自定义服务账号则是你指定的那个账号。它需要获得对Cloud Tasks服务账号的iam.serviceAccounts.actAs权限。

具体配置步骤 #

• 先确认你的Cloud Functions服务账号：
  进入Cloud Functions控制台，找到onCreatePost函数，在详情页的「服务账号」字段查看对应的账号。
• 给该服务账号添加权限：
  1. 打开IAM & Admin控制台，找到报错中提到的Cloud Tasks服务账号（******************@gcp-sa-cloudtasks.iam.gserviceaccount.com）。
  2. 点击该账号的「编辑权限」，添加新绑定：
     • 主体选择你的Cloud Functions运行服务账号。
     • 角色选择Service Account User（该角色包含iam.serviceAccounts.actAs权限）。
• 核对已有配置：确认Cloud Tasks服务账号已拥有Cloud Functions Invoker角色（你已配置，可再次验证），这是它调用函数的必要条件。

验证方法 #

在Firestore的posts集合创建新文档，查看Cloud Functions日志，若不再出现权限报错则说明配置生效。

内容的提问来源于stack exchange，提问作者Joshua Hyatt