Firebase pubsub调度函数运行报Permission denied权限报错

• 编写的定时云函数代码如下：

const functions = require("firebase-functions");
exports.addTasksToQueueScheduler =  functions.pubsub
    .schedule('every 5 minutes')
    .onRun((context) => {
        console.log('This will be run every five minutes!');
  return null;
});

• 执行部署命令firebase deploy --only functions后，Firebase控制台可正常看到目标函数创建成功
• 在Cloud Scheduler控制台找到对应调度任务，点击「Run Now」手动触发时返回运行失败
• 已为App Engine默认服务账号添加以下权限仍未解决问题：Cloud Functions Admin、Cloud Scheduler Admin、Cloud Tasks Admin、Editor、Owner、Pub/Sub Admin、Pub/Sub Publisher、Cloud Run Invoker、Storage Object Viewer

• 先获取具体报错定位范围
  进入Cloud Scheduler对应任务的「历史执行」标签页，查看失败条目附带的错误详情与错误码，避免无意义堆砌权限。
• 拆分调用链锁定故障段
  定时函数的完整调用链路为「Cloud Scheduler触发 → 向关联Pub/Sub主题发布消息 → Pub/Sub推送消息触发云函数执行」，可通过手动测试拆分故障位置：
  1. 进入Pub/Sub控制台，找到与该函数关联的主题（一般命名规则为firebase-schedule-你的函数名），手动发布一条测试消息
  2. 观察云函数日志：若手动发Pub/Sub消息无法触发云函数，故障出在「Pub/Sub → 云函数」段；若手动发Pub/Sub消息可正常触发，故障出在「Cloud Scheduler → Pub/Sub」段
• 针对故障段处理权限问题（最常见踩坑点）
  多数问题是因为只给App Engine默认服务账号加权限，忽略了调用链中其他独立身份的权限配置：
  • 若为「Pub/Sub → 云函数」段故障：找到Pub/Sub内置的推送服务账号（格式为serviceAccount:你的项目数字ID@pubsub.iam.gserviceaccount.com），给该账号对应云函数添加Cloud Functions Invoker（第一 gen云函数）或Cloud Run Invoker（第二 gen云函数）权限，仅给App Engine账号加权限无法解决该段的权限拒绝问题
  • 若为「Cloud Scheduler → Pub/Sub」段故障：确认Cloud Scheduler任务配置中绑定的运行身份（一般默认为App Engine默认服务账号），拥有对应Pub/Sub主题的pubsub.topics.publish权限，同时检查对应主题的IAM策略中无该身份的拒绝规则
• 其他常见问题排查
  • IAM权限存在传播延迟，新增权限后等待5-10分钟再测试，不要刚配置完就触发验证
  • 检查Scheduler任务的目标配置，确认关联的Pub/Sub主题名称与云函数对应的触发主题完全一致，避免手动修改任务配置导致目标不匹配
  • 进入云函数的日志页面排查运行时报错：若函数初始化阶段存在依赖缺失、逻辑错误，哪怕调用链权限配置正确也会触发执行失败

内容的提问来源于stack exchange，提问作者Dhara