尝试使用 firebase-admin 从 Cloud Run 服务访问 FirestoreAdminClient。错误：7 PERMISSION_DENIED：调用者没有权限

Question

我有一个 API 端点的以下代码，该端点应该使用以下命令触发 Firestore 备份firebase-admin。

这就是我初始化的方式firebase-admin；

import * as admin from "firebase-admin";

admin.initializeApp({
  credential: admin.credential.cert(
    SERVICE_ACCOUNT as admin.ServiceAccount
)});

服务帐户密钥是我使用默认服务帐户下载的 JSON firebase-admin：

这是backup.tsAPI 请求处理程序。

export const backupData: RequestHandler = async (req, res) => {
  try {

    const PROJECT_ID = process.env.PROJECT_ID;
    
    const client = new admin.firestore.v1.FirestoreAdminClient();
    const DB_NAME = client.databasePath(PROJECT_ID, "(default)");

    const BUCKET = `gs://${PROJECT_ID}.appspot.com`;
    const FOLDER = `firestore-backup`;
    const FULL_PATH = `${BUCKET}/${FOLDER}`;

    const responses = await client.exportDocuments({
      name: DB_NAME,
      outputUriPrefix: FULL_PATH,
      collectionIds: [] // CAN LIST SPECIFIC COLLECTIONS
    });

    const response = responses[0];
    return res.sendStatus(200);
  } else 
    return res.sendStatus(403);
  }
  catch(err) {
    console.error(err.message || DEFAULT_ERROR_MSG);
    return res.sendStatus(500);
  }
};

奇怪的是：

它在我的开发环境中完美运行。我的意思是，我运行本地服务器并点击localhost:8080/api/backup（这是正确的端点），一切正常并且触发备份。

但是当我将它部署到我的cloud run服务中后，它就不再起作用了。

这是我在云运行服务上遇到的错误：

7 PERMISSION_DENIED：调用者没有权限

我需要向该服务帐户添加更多权限吗？但为什么它可以在我的本地开发环境中使用相同的服务帐户呢？在云运行服务上初始化服务帐户时，是否不应使用服务帐户？不知道在这里做什么。

---

更新1：

我只是尝试像这样初始化它，但得到了相同的结果：

admin.initializeApp({
  credential: admin.credential.cert(SERVICE_ACCOUNT),
  databaseURL: `https://${PROJECT_ID}.firebaseio.com`,
  storageBucket: `${PROJECT_ID}.appspot.com`
});

另外，只需按照此文档教程并将这些角色添加到 myfirebase-admin和PROJECT_ID@appspot.gserviceaccount.com. 还是行不通：

• Cloud Datastore Import Export Admin
• Storage Admin

更新2：

在这个文档之后，我只是尝试firebase-admin在没有任何参数的情况下初始化。结果还是一样：

admin.initializeApp();

更新3：

根据之前的文档和本文档Cloud Datastore Import Export Admin，我已将和 的IAM 角色添加Storage Admin到我的PROJECT_NUMBER-compute@developer.gserviceaccount.com服务账户中。结果还是一样。

---

结论

它刚刚起作用了。但我已经做了很多尝试，所以我不太确定是什么让它起作用。我猜这就是我在UPDATE 3上所做的。明天会检查并回答。

Answer 1

我可以确认UPDATE 3我在问题中描述的内容成功了。因为我已经恢复了所做的更改，UPDATE 1 and 2并且它仍然工作正常。

看来在我的本地环境中，firebase-admin正在使用firebase-adminsdk@PROJECT_ID.iam.gserviceaccount.com服务帐户来调用FirestoreAdminClientAPI。我想这就是它起作用的原因。或者也许它正在使用我的gcloud登录帐户，即我的owner电子邮件。我不太确定。

但是，一旦您进入 Cloud Run 环境，即使firebase-admin使用相同的服务帐户进行初始化，它似乎也会覆盖该帐户并使用xxxxxxxxx-compute@developer.gserviceaccount.com. 这就是需要权限的人。

我从Cloud Run Service Identity和Cloud Run IAM 角色中得到了这个想法，它说：

我从Firebase DOCS - Scheduled Export获得所需的角色：

这是最终的配置：