使用 serviceAccountId 时无法签署 JWT

Question

我们已从服务帐户密钥切换到 serviceAccountIds（或尝试这样做），因此我们可以清理我们拥有的所有 rouge 密钥。推出我们看到的变化后：

需要权限 iam.serviceAccounts.signBlob 才能对服务帐户项目/-/serviceAccounts/xxxx@xxx.iam.gserviceaccount.com 执行此操作。；请参考https://firebase.google.com/docs/auth/admin/create-custom-tokens了解更多关于如何使用和解决这个功能的细节......}}

问题是，我们肯定应用了正确的角色（见附件）。我们甚至还尝试了更多。

谢谢！

Answer 1

在这种情况下使用了两个服务帐户：

1. 用于授权 RPC 调用的服务帐号（对于 Cloud Functions，这是 App Engine 的默认服务帐号）。
2. 您指定为serviceAccountId 的服务帐户。

似乎 IAM 仅在两个服务帐户都具有 signBlob 权限时才有效。我已就此向 GCP/IAM 团队咨询过。同时，您可以立即尝试以下几个修复：

• 将令牌创建者角色授予 App Engine 默认服务 您的项目帐户。
• 一旦你这样做了，你就不必 完全指定serviceAccountId。 SDK 将自动发现相同的 在 Functions 中运行时的服务帐号 ID。