配置Entra ID与GCP/Firebase集成后，用户无法访问控制台权限求助

• 确认同步组的实体类型：Entra同步到Google Admin的邮件启用安全组，需确保在Google Admin中是「Google群组」类型，而非「邮件列表」。GCP IAM仅识别原生Google群组，若为邮件列表，需调整Entra的G Cloud Connector同步配置，将组同步为Google群组。
• 检查组成员同步状态：登录admin.google.com，查看目标组的成员列表，确认用户已被同步且状态为「已同步」。若存在延迟或未同步，手动触发Entra的同步任务后再次验证。
• 验证IAM权限的生效范围：在Firebase项目的IAM页面，确认权限是直接分配给目标组，且生效范围为当前Firebase对应的GCP项目，而非组织或其他项目。若使用嵌套组，需确保父组的权限传递逻辑正常。
• 核对用户登录身份：让用户访问https://console.cloud.google.com/iam-admin/settings，确认登录账号为域内同步账号，而非个人Google账号，避免因账号不匹配导致权限失效。
• 排查权限冲突：在IAM页面使用「权限检查器」，输入用户邮箱查看权限评估结果，确认是否存在「拒绝」类权限（如roles/iam.denyAll）覆盖了Viewer角色的允许权限。
• 配置Firebase专属角色：Firebase控制台部分功能需依赖Firebase特定角色，可尝试给目标组分配roles/firebase.viewer角色，测试是否能正常访问Firebase控制台。
• 确认账号属性一致性：检查Entra与Google Admin中用户的邮件地址完全匹配，避免因地址差异导致IAM权限无法关联到正确用户。

内容的提问来源于stack exchange，提问作者G Arts