在 Google Cloud 控制台中，可以安全地将 Firebase Admin SDK 角色授予默认计算服务帐户吗？

Question

为了在 v2 Firebase Cloud Functions 中使用 Firebase Admin SDK，必须向 Google Cloud 控制台中的“默认计算服务帐户”授予“Firebase Admin SDK 管理员服务代理”角色。这是因为 v2 函数使用此服务帐户来访问 Firebase Admin SDK，而不是使用上述角色自动创建的“firebase-adminsdk”服务帐户。

授予默认计算引擎服务帐户此角色是否安全？或者有没有办法强制 v2 函数使用 firebase-adminsdk 服务帐户？

Answer 1

每当您向任何事物授予额外权限时，如果不了解所涉及的所有云组件的整体情况及其各自的安全配置，就可能被认为是“不安全”的。 具体来说，如果您授予此权限，我们不知道您项目的哪些其他部分可能会受到影响。 因此，根据这里的信息，确实不可能说它是否“安全”。

作为最佳实践，您应该遵守

最小权限原则，并且仅根据组件的实际需要为其分配最具体的所需权限。 这是唯一可以普遍认为“安全”的东西。

如果您希望 Cloud Functions 代码尽可能“安全”，则应使用仅被授予执行您需要使用 SDK 执行的任何操作所需的特定权限的服务帐户来

初始化 Firebase Admin SDK。 这意味着您必须使用适当的服务帐户凭据将 AppOptions 参数传递给 initializeApp。