Firebase部署报403错误：缺少iam.serviceAccounts.create操作权限

报错核心信息：HTTP Error: 403, Permission iam.serviceAccounts.create is required to perform this operation on project "X"

异常根因 #

Firebase CLI 执行部署流程时，默认会在目标项目下查找、创建用于授权访问云资源的服务账号。该报错的本质是当前执行部署的操作身份，在目标项目X上不具备创建服务账号的权限。结合删除关联项目Y的操作场景，大概率由三类问题触发：原有部署服务账号被误删、本地项目配置残留旧的关联关系、当前登录的CLI账号在项目X上的IAM权限绑定失效。

分步排查解决 #

• 第一步：校验Firebase CLI的登录身份
  执行firebase login:list查看当前CLI已缓存的登录账号，确认该账号是项目X的授权成员；如果存在账号缓存错误，执行firebase login --reauth重新登录项目X的管理员账号，不要用无关联权限的非授权账号执行部署。
• 第二步：核对本地项目的部署指向
  打开项目本地目录下的.firebaserc配置文件，查看projects字段的默认项目ID，确认部署目标没有错指向已被删除的项目Y的残留ID；如果指向错误，直接修改文件内容为项目X的正确项目ID，或是执行firebase use 项目X的正确ID手动切换部署上下文。
• 第三步：补全当前操作账号的缺失权限
  进入项目X对应的Google Cloud服务控制台的「IAM与管理」页面，找到当前实际执行部署的身份（本地CLI场景就是登录的个人账号，CI/CD场景就是流水线绑定的服务账号），检查角色绑定情况：
  • 确保该身份至少绑定了「Firebase 管理员」「项目编辑器」两个基础角色
  • 如果项目归属Google Workspace组织管控，需要确认组织级IAM策略没有禁止普通成员/服务账号创建服务账号，必要时临时为该身份添加最小范围的iam.serviceAccounts.create权限，等服务账号创建完成后再收回非必要权限。
• 第四步：清理已删除项目的残留关联影响
  之前删除项目Y时如果误删除了同组织下的公共服务账号，或是GitHub关联的部署秘钥指向了已删除的项目Y，会导致项目X无法复用原有部署服务账号，触发CLI自动创建新账号的流程。此时需要做两类检查：
  • 进入项目X的「IAM与管理-服务账号」列表，检查是否存在两类必要服务账号：Firebase CLI默认的部署账号（命名格式为firebase-adminsdk-xxxx@项目X的ID.iam.gserviceaccount.com）、GitHub Actions关联部署的专用服务账号；如果对应账号缺失，需要用项目所有者权限手动触发一次账号创建流程，不要用低权限成员账号执行自动创建操作。
  • 如果是GitHub Actions工作流内触发部署报错，需要检查GitHub仓库的Secrets配置，确认存储的Firebase部署秘钥是否属于已删除的项目Y，重新生成项目X的专用部署秘钥替换原有失效配置。
• 临时绕过方案
  如果暂时无法拿到高权限操作权限，且项目下已经存在可用的有效服务账号，可以通过环境变量指定现有服务账号的密钥路径，跳过CLI自动创建服务账号的流程：
  提前将服务账号的JSON密钥文件存放到本地固定路径，执行命令配置环境变量：export GOOGLE_APPLICATION_CREDENTIALS=/本地密钥文件路径/服务账号密钥.json，配置完成后再执行firebase deploy即可正常触发部署。

内容的提问来源于stack exchange，提问作者Daniel Lozada