Firebase 管理员：代表第三方管理员访问数据库

Question

我正在使用 Oauth2 验证第三方 Firebase 项目所有者及其 Google 帐户的身份，以授予对其 Firestore 云平台项目的访问权限。我的目标是让数据库触发器运行，而不是来自我自己的数据库，而是在第三方管理员拥有的数据库上运行，即我不拥有或无法直接访问的数据库。

对于我自己的管理员，我会使用自己的服务帐户：

const admin = require('firebase-admin');

const serviceAccount = require('./path/to/serviceAccountKey.json');

admin.initializeApp({
  credential: admin.credential.cert(serviceAccount)
});

const db = admin.firestore();

第三方 Firebase 管理员是否可以在不手动共享项目的情况下授予对其数据库的访问权限？

对不是通过firebase-admin sdk 独占的选项开放？

可能的选项可能类似于：

1. 通过Oauth 获取第三方访问权限
2. 现有的 Google Cloud API 可通过Oauth 或其他方式获得他们的serviceAccount.json 或Firebase Project Settings。

要实现这一点：

const admin = require('firebase-admin');
    
   //Maybe this??
    const thirdPartyServiceAccount = require('./path/to/serviceAccountKey.json');
    
    admin.initializeApp({
      credential: admin.credential.cert(serviceAccount)
    });
    
   //Or this??  
    admin.initializeApp({
      credential: admin.credential.refreshToken(thirdPartyRefreshToken)
    });


    const thirdPartyDB = admin.firestore();

类似的问题似乎没有解决我的用例

How to use Admin SDK with limited privileges on Firestore?

Answer 1

在使用 firebase-admin 或任何 Google Cloud SDK（不是网络和移动客户端）编写访问 Firestore 的后端代码时，所有访问权限均通过用于初始化的服务帐户帐户授予开发工具包。几乎所有 Google Cloud 产品都是这种情况，身份验证系统称为Cloud IAM。

如果您想授予某方访问您的数据库的权限，典型的过程是访问create a service account，并仅授予它访问该方需要的permissions 的访问权限。然后，他们可以使用该服务帐户来初始化他们想要使用的 SDK，IAM 将确保该帐户只能执行允许的任何操作。