使用Google云平台服务帐户查询GSuite目录API

Question

我想查询GSuite Admin SDK Directory API，以返回Go中组中的所有用户，并作为GCP服务帐户进行身份验证（该脚本将在Google Compute Engine VM中执行或作为Google Cloud函数执行）。

我使用的服务帐户（我们称之为 )在GSuite中被授予了必要的作用域:

我还有一个GSuite管理帐户（我们称之为

我能够用以下代码返回一个组中的所有用户（基于上面提供的链接中的代码，并且我删除了大部分错误处理以使代码更短）:

package main

import (
    "io/ioutil"
    "log"
    "os"

    "golang.org/x/net/context"
    "golang.org/x/oauth2/google"
    admin "google.golang.org/api/admin/directory/v1"
)

func main() {
    srv := createAdminDirectoryService(
        os.Getenv("SERVICE_ACCOUNT_FILE_PATH"),
        os.Getenv("GSUITE_ADMIN_USER_EMAIL"),
    )
    members := listUsersInGroup(srv, os.Args[1])
    log.Println(members)
}

func createAdminDirectoryService(serviceAccountFilePath,
                                 gsuiteAdminUserEmail string) *admin.Service {
    jsonCredentials, _ := ioutil.ReadFile(serviceAccountFilePath)

    config, _ := google.JWTConfigFromJSON(
        jsonCredentials,
        admin.AdminDirectoryGroupMemberReadonlyScope,
    )
    config.Subject = gsuiteAdminUserEmail

    ctx := context.Background()
    client := config.Client(ctx)

    srv, _ := admin.New(client)
    return srv
}

func listUsersInGroup(srv *admin.Service, groupEmail string) []string {
    members, err := srv.Members.List(groupEmail).Do()
    if err != nil {
        log.Fatal(err)
    }

    membersEmails := make([]string, len(members.Members))
    for i, member := range members.Members {
        membersEmails[i] = member.Email
    }

    return membersEmails
}

如您所见，该代码要求有一个JSON密钥文件 。这是我找到的创建 对象的唯一方法。

此外，请注意，委托是用

googleapi: Error 403: Insufficient Permission: Request had insufficient authentication scopes., insufficientPermissions

不管怎样，跑步:

SERVICE_ACCOUNT_FILE_PATH=/path/to/json/key/of/my/service/account \
GSUITE_ADMIN_USER_EMAIL=[e-mail] \
go run main.go [e-mail]

成功打印 中的所有用户。

但是，由于该代码将从使用 作为服务帐户的Google Compute Engine VM（或Google Cloud函数）运行，因此需要该服务帐户的JSON密钥来进行身份验证似乎是荒谬的（因为我已经在VM或GCF内部通过了 身份验证）。

我已尝试用以下代码替换 的内容，以便作为启动脚本的用户进行身份验证（使用默认凭据）:

func createAdminDirectoryService() *admin.Service {
    ctx := context.Background()

    client, _ := google.DefaultClient(ctx, scopes...)

    srv, _ := admin.New(client)
    return srv
}

但列出用户将返回一个错误:

googleapi: Error 403: Insufficient Permission: Request had insufficient authentication scopes., insufficientPermissions

由于这是我在删除委托时得到的相同错误，我认为这是相关的。实际上，在 创建期间，我没有在任何地方提供我的GSuite管理帐户。

有没有人能就以下几点提供帮助:

object?/li> 的源代码，我可以得到 而不是 ，但是似乎不可能用oauth2令牌“委托”。我还可以如何执行委托？/li>

Answer 1

golang prettyprint-override">    r, err := srv.Users.List().
        ViewType("domain_public").
        Customer("my_customer").
        OrderBy("email").
        Do()

试试用这个。