使用服务账号密钥连接Firebase Admin SDK的Cloud Run部署问题

你不需要上传私有服务账号JSON文件到代码仓库或构建环境，也不需要硬编码凭证，有两种原生适配的方案可以完成初始化，实现Firestore的读写操作：

方案1：使用官方默认凭证自动认证（最推荐） #

Firebase Admin SDK 原生支持 Google Cloud 应用默认凭证（ADC） 自动发现机制，不需要手动传入密钥文件，只要对应服务账号配置了足够的权限，用最简代码即可完成初始化：

const admin = require('firebase-admin');
admin.initializeApp();
// 初始化完成后可直接调用Firestore接口
const db = admin.firestore();

根据你使用Admin SDK的场景配置对应权限即可：

• 若在构建环节调用Admin SDK：给Cloud Build默认服务账号（格式为[项目ID]@cloudbuild.gserviceaccount.com）授予Cloud Datastore 用户角色，该角色包含Firestore的读写权限
• 若在Cloud Run运行时调用Admin SDK：给Cloud Run运行时服务账号（默认格式为[项目ID]-compute@developer.gserviceaccount.com，也可自定义）授予Cloud Datastore 用户角色即可

该方案完全适配你当前使用Cloud Buildpacks的构建流程，不需要自定义Dockerfile，也不需要额外修改构建配置。

方案2：通过环境变量传入指定服务账号凭证 #

如果需要使用特定的服务账号而非平台默认服务账号，可以通过Secret Manager存储凭证，注入为环境变量完成初始化，无需将密钥提交到代码仓库：

1. 将服务账号JSON文件的完整内容上传到Google Cloud Secret Manager，创建名为FIREBASE_ADMIN_KEY的密钥
2. 按照使用场景将密钥注入为环境变量：
   • 构建环节使用：在Cloud Build触发配置中添加Secret Manager密钥引用，注入为环境变量FIREBASE_ADMIN_KEY
   • Cloud Run运行时使用：在Cloud Run部署配置中添加Secret Manager密钥引用，注入为环境变量FIREBASE_ADMIN_KEY
3. 初始化代码调整为读取环境变量中的凭证内容：

const admin = require('firebase-admin');
const serviceAccount = JSON.parse(process.env.FIREBASE_ADMIN_KEY);
admin.initializeApp({
  credential: admin.credential.cert(serviceAccount)
});

内容的提问来源于stack exchange，提问作者ollog10