允许访问Python中的Google Admin SDK目录API

Question

null

# google_admin_apis.py
def add_member(member):
    if not member.email:
        return False
    try:
        service = build('admin', 'directory_v1')
    except DefaultCredentialsError: # For developers
        return False
    group_key = '[e-mail]'
    body = {
        "email": member.email
    }
    members = service.members()
    request = members.insert(groupKey=group_key, body=body)
    response = request.execute()
    return True

我的应用程序托管在Google App Engine上，因此默认情况下ADC在服务器上运行时将使用默认服务帐户。我已经尝试通过使用gcloud auth application-default-account登录和使用我的G Suite管理帐户以及我的个人帐户（两者都是GCP项目的所有者）登录来在本地运行这段代码。失败后，我做了一些研究，并意识到要使OAuth2能够访问我的G套件用户数据（我实际上并不是通过插入一个User?？来访问任何东西）我必须在默认的服务帐户上“启用域范围的委托”，所以我这样做了，然后我下载了服务帐户JSON并尝试用Google_Application_Credentials手动授权，但仍然得到了403。然后，我更进一步，按照这些指示去做。允许我的客户ID访问https://www.googleapis.com/auth/admin.directory.group和group.member。

在所有这些之后，我仍然得到一个403的错误。

使用application-default-credentials，我得到:

<HttpError 403 when requesting
https://www.googleapis.com/admin/directory/v1/groups/groupKey/members?alt=json 
returned "Insufficient Permission">

null

<HttpError 403 when requesting
https://www.googleapis.com/admin/directory/v1/groups/groupKey/members?alt=json 
returned "Not Authorized to access this resource/api">

（组密钥被有意审查）

简而言之，我有一个具有域范围委托的app-engine默认服务帐户，并赋予了它的客户机ID访问目录API的member.insert（）函数所需的两个角色的权限，但仍然不允许我像上面那样调用API。

如有任何帮助，我们将不胜感激。

Answer 1

我按照本教程https://developers.google.com/admin-sdk/directory/v1/quickstart/python在本地运行一个类似的函数，使用google_auth_oauthlib设置OAuth2凭据

service = build('admin', 'directory_v1', credentials=creds)