尝试使用 Firebase Admin SDK 创建自定义令牌时出现“调用者没有权限”

Error

打电话时admin.auth().createCustomToken()我收到以下错误：

Error: The caller does not have permission; Please refer to https://firebase.google.com/docs/auth/admin/create-custom-tokens for more details on how to use and troubleshoot this feature.

提供的文档让我相信我用来初始化 Firebase Admin SDK 的服务帐户没有足够的权限。我不相信是这样的，所以我想问问，看看我是否错过了什么。

配置

Firebase Admin SDK 在后端初始化，如下所示：

admin.initializeApp({
  serviceAccountId: 'fir[email protected] /cdn-cgi/l/email-protection'
});

从技术上讲，该值是从环境变量引用的，但我已确认该值是正确的。

所使用的服务帐户具有以下角色：

roles/firebase.sdkAdminServiceAgent
roles/iam.serviceAccountTokenCreator

根据文档，创建自定义令牌所需的权限是iam.serviceAccounts.signBlob。此许可是iam.serviceAccountTokenCreator根据此输出的角色：

❯ gcloud beta iam roles describe roles/iam.serviceAccountTokenCreator
description: Impersonate service accounts (create OAuth2 access tokens, sign blobs
  or JWTs, etc).
etag: AA==
includedPermissions:
- iam.serviceAccounts.get
- iam.serviceAccounts.getAccessToken
- iam.serviceAccounts.getOpenIdToken
- iam.serviceAccounts.implicitDelegation
- iam.serviceAccounts.list
- iam.serviceAccounts.signBlob
- iam.serviceAccounts.signJwt
- resourcemanager.projects.get
- resourcemanager.projects.list
name: roles/iam.serviceAccountTokenCreator
stage: GA
title: Service Account Token Creator

最后，出现错误的问题代码如下：

try {
  const loginToken = await admin.auth().createCustomToken(uid);
  return response(200).json({ loginToken });
} catch (err) {
  ...
}

uid 来自通过 GoogleUser 凭据登录用户 - 所提供的 uid 被确认是准确的，并且当引用同一服务帐户的 JSON 密钥文件时，此流程在本地工作。

服务器在 GKE 上运行，以防可能是集群权限错误。

任何帮助将不胜感激！

编辑-已解决Hiranya 的回答成功了 - K8s 部署已配置了一个服务帐户，其最初目的只是为了启用 Cloud SQL 代理。为该服务帐户授予 serviceAccountTokenCreator 角色解决了该问题。

您需要确保 SDK 授权的服务帐户（而不是指定的帐户）serviceAccountId) 具有代币创建者角色。这是 Google 应用程序默认凭据自动发现的服务帐户。对于 Cloud Functions，这是名为的服务帐户{project-name}@appspot.gserviceaccount.com。您需要找出 GKE 的等效服务帐户并授予其令牌创建者角色。