无法分配IAM.ServiceAccounts.SignBlob权限

Question

TLDR；我无法将IAM权限分配给服务帐户。

我正在构建一个测试，涉及用firebase身份验证铸造自定义令牌。当我击中：

  const token = await admin.auth().createCustomToken('test', {
    isAdmin: true,
  })

将引发以下错误

Permission iam.serviceAccounts.signBlob is required to perform
this operation on service account 
projects/-/serviceAccounts/[e-mail].;
Please refer to 
https://firebase.google.com/docs/auth/admin/create-custom-tokens
for more details on how to use and troubleshoot this feature

我可以验证我的权限设置是否正确，当我运行GCloud projects get-iam-policy project时，我可以看到我的服务帐户附加到所需的角色

- members:
  - serviceAccount:[e-mail]
  role: roles/iam.serviceAccountTokenCreator

但是,如果我查看特定的服务帐户,它似乎显示为空,这与我的错误相符：

gcloud iam service-accounts get-iam-policy [e-mail]
etag: ACAB

• 为什么这两个命令&云控制台会显示不同的信息？

我假设导致我的服务帐户权限显示为空白的任何东西都是罪魁祸首，但我不确定在哪里进一步调试。在我看来，唯一的区别是一个命令是用其中的项目调用的，但我用项目id初始化了我的firebase应用程序，并用(firebase-admin).apps[0].options验证了它，所以这似乎是一个死胡同。

Answer 1

Firebase在其文档中提到了此错误：

https://firebase.google.com/docs/auth/admin/create-custom-tokens#failed_to_determine_service_account

必须通过JSON配置文件正确初始化应用程序。

一个简单的解决方法是：

1. 转到https://console.cloud.google.com/iam-admin/iam？project=project_name
2. 编辑您的默认服务帐户。
3. 添加角色服务帐户令牌创建者

几分钟后，您的项目将能够创建签名令牌。

Answer 2

服务帐户的签名功能需要iam.ServiceAccounts.SignBlob权限。此权限包含在服务帐户令牌角色角色/iam.ServiceAccountTokenCreator中

您可以在“项目”级别或“服务帐户”级别分配此角色。这就是为什么你会看到不同的结果。在项目级别分配角色会影响所有服务帐户的权限。在服务帐户上分配角色只影响该服务帐户。

问题的关键是调用方在服务帐户[e-mail]上没有此角色。您已授予服务帐户权限，而未授予呼叫者权限。查看用于设置Firebase SDK的服务帐户的代码。