手动创建的GCP服务账号无法通过REST访问Firestore，需授予哪些权限？

首先明确核心逻辑：服务账号身份调用Firestore REST API时，走GCP IAM权限校验体系，完全绕过Firebase安全规则，因此你配置的if true安全规则不会生效，默认服务账号可以访问是因为其默认被授予了Firestore相关权限。

所需配置的权限 #

你可以选择预定义角色或者自定义角色两种方式配置：

方案1：使用GCP预定义角色（推荐，配置简单） #

根据你的业务需要给服务账号授予对应角色即可：

• roles/datastore.user：通用读写权限，包含对Firestore数据的增删改查能力，无数据库配置修改权限，适配绝大多数业务服务场景
• roles/datastore.viewer：只读权限，仅能查询数据，适合只读类业务场景，权限收敛更安全
• roles/datastore.owner：全量权限，包含数据读写、数据库配置修改、权限调整等能力，非必要不建议授予

授权可以选择在GCP项目层级配置（对项目下所有Firestore数据库生效），也可以在单Firestore数据库层级配置（适合多数据库的细粒度权限管控）。

方案2：自定义权限（适合细粒度权限管控场景） #

如果预定义角色权限范围过大，你可以创建自定义角色，按需添加以下最小权限集合：

• 读数据需要：datastore.documents.get、datastore.documents.list
• 写数据需要：datastore.documents.create、datastore.documents.update、datastore.documents.delete
• 事务/批量操作需要额外加：datastore.databases.beginTransaction、datastore.databases.commit、datastore.databases.rollback

必要附加校验 #

权限配置完成后如果还是无法访问，需要检查OAuth令牌的请求参数：

• 请求OAuth 2.0令牌时必须指定scope为https://www.googleapis.com/auth/datastore，scope错误即使权限配置正确也会被拦截。

内容的提问来源于stack exchange，提问作者David Min