尝试使用 firebase-admin 从 Cloud Run 服务访问 FirestoreAdminClient错误：7 PERMISSION_DENIED：调用者没有权限

如何解决尝试使用 firebase-admin 从 Cloud Run 服务访问 FirestoreAdminClient错误：7 PERMISSION_DENIED：调用者没有权限

我有一个 API 端点的以下代码，该端点应该使用 firebase-admin 触发 Firestore 备份。

这就是我初始化 firebase-admin 的方式；

import * as admin from "firebase-admin";

admin.initializeApp({
  credential: admin.credential.cert(
    SERVICE_ACCOUNT as admin.ServiceAccount
)});

服务帐户密钥是我使用默认 firebase-admin 服务帐户下载的 JSON：

这是 backup.ts API 请求处理程序。

export const backupData: RequestHandler = async (req,res) => {
  try {

    const PROJECT_ID = process.env.PROJECT_ID;
    
    const client = new admin.firestore.v1.FirestoreAdminClient();
    const DB_NAME = client.databasePath(PROJECT_ID,"(default)");

    const BUCKET = `gs://${PROJECT_ID}.appspot.com`;
    const FOLDER = `firestore-backup`;
    const FULL_PATH = `${BUCKET}/${FOLDER}`;

    const responses = await client.exportDocuments({
      name: DB_NAME,outputUriPrefix: FULL_PATH,collectionIds: [] // CAN LIST SPECIFIC COLLECTIONS
    });

    const response = responses[0];
    return res.sendStatus(200);
  } else 
    return res.sendStatus(403);
  }
  catch(err) {
    console.error(err.message || DEFAULT_ERROR_MSG);
    return res.sendStatus(500);
  }
};

奇怪的是：

它在我的开发环境中完美运行。我的意思是，我运行我的本地服务器并点击 localhost:8080/api/backup（这是正确的端点），一切正常，备份被触发。

但在我将其部署到我的 cloud run 服务后，它不再有效。

这是我在云运行服务上遇到的错误：

7 PERMISSION_DENIED：调用者没有权限

我是否需要为该服务帐户添加更多权限？但是为什么它可以在我的本地开发环境中使用相同的服务帐户？当我在我的云运行服务上初始化服务帐户时，我不应该使用它吗？不知道在这里做什么。

---

更新 1：

我刚刚尝试像这样初始化它，但得到了相同的结果：

admin.initializeApp({
  credential: admin.credential.cert(SERVICE_ACCOUNT),databaseURL: `https://${PROJECT_ID}.firebaseio.com`,storageBucket: `${PROJECT_ID}.appspot.com`
});

另外，刚刚关注 this doc tutorial 并将这些角色都添加到我的 firebase-admin 和 [e-mail]。还是不行：

• Cloud Datastore Import Export Admin
• Storage Admin

更新 2：

在 this doc 之后，我只是尝试在没有任何参数的情况下初始化 firebase-admin。结果还是一样：

admin.initializeApp();

更新 3：

按照之前的文档和 this doc，我已将 Cloud Datastore Import Export Admin 和 Storage Admin 的 IAM 角色添加到我的 [e-mail] 服务帐户。结果还是一样。

---

结论

它刚刚奏效。但是我做了很多尝试，我不确定是什么让它起作用。我猜这是我在 UPDATE 3 上所做的。明天检查并回答。

解决方法

我可以确认我在问题中描述的 UPDATE 3 起到了作用。因为我已经恢复了在 UPDATE 1 and 2 上所做的更改并且它仍然可以正常工作。

似乎在我的本地环境中，firebase-admin 正在使用 firebase-adminsdk@PROJECT_ID.iam.gserviceaccount.com 服务帐户调用 FirestoreAdminClient API。这就是我猜它有效的原因。或者它可能正在使用我的 gcloud 登录帐户，即我的 owner 电子邮件。我不太确定。

但是一旦您进入 Cloud Run 环境，即使 firebase-admin 是使用同一个服务帐户初始化的，它似乎有点覆盖并使用了 [e-mail]。所以这就是需要权限的人。

我从 Cloud Run Service Identity 和 Cloud Run IAM roles 那里得到了这个想法，它说：

我需要的角色来自：Firebase DOCS - Scheduled exports：

这是最终的配置：