能否使用被模拟的服务账号初始化Firebase Admin SDK？

使用模拟服务账号的短期令牌访问跨项目Firestore是完全支持的，你的判断没有问题，遇到报错是因为存在配置遗漏、凭证格式不符合SDK要求。

问题根因 #

你收到的报错：

Must initialize the SDK with a certificate credential or application default credentials to use Cloud Firestore API.
本质是Firestore Admin SDK仅接受符合Google Auth标准的凭证对象，直接传入原始访问令牌字符串、或者没有正确封装模拟账号的凭证结构，都会被判定为非法凭证类型。

完整配置步骤 #

• 首先给当前运行环境的身份（本地操作账号、云端运行服务的绑定服务账号）授予目标模拟服务账号的roles/iam.serviceAccountTokenCreator角色，确保当前身份有权限生成该模拟账号的短期令牌。
• 生成短期令牌时必须添加Firestore要求的OAuth scope：https://www.googleapis.com/auth/datastore，缺少该scope即使拿到令牌也无法访问Firestore接口。
• 不要直接将原始令牌字符串传入Firestore初始化参数，需要先将令牌、有效期等信息封装为官方SDK认可的凭证对象，各语言都有对应的官方Auth库用来构造凭证，不需要自己拼接请求头。

可运行示例（Python） #

from google.cloud import firestore
import google.auth
from google.auth import impersonated_credentials

# 替换为实际参数
TARGET_SA = "要模拟的服务账号邮箱@项目ID.iam.gserviceaccount.com"
FIRESTORE_PROJECT = "Firestore所属的GCP项目ID"
ACCESS_SCOPE = ["https://www.googleapis.com/auth/datastore"]

# 自动获取当前环境的默认凭证，模拟生成目标服务账号的凭证
source_cred, _ = google.auth.default()
impersonated_cred = impersonated_credentials.Credentials(
    source_credentials=source_cred,
    target_principal=TARGET_SA,
    target_scopes=ACCESS_SCOPE,
    lifetime=3600
)

# 用封装好的模拟凭证初始化Firestore客户端
db = firestore.Client(
    project=FIRESTORE_PROJECT,
    credentials=impersonated_cred
)

常见遗漏检查项 #

• 你要模拟的目标服务账号，必须已经被授予目标Firestore项目的roles/datastore.user或更高权限的Firestore访问角色，仅完成模拟配置没有Firestore权限依然会被拦截。
• 初始化Firestore客户端时必须明确指定Firestore所属的项目ID，不要使用当前运行环境的默认项目ID，否则会默认访问当前项目的Firestore而不是跨项目的资源。
• 短期令牌的有效期不要超过1小时，这是服务账号模拟令牌的默认最大有效期，设置更长会直接生成失败。

内容的提问来源于stack exchange，提问作者John Dengis