Google Directory API:无法使用服务帐户访问用户/组endpoint（403）

Question

我正在尝试使用Google Directory API验证组成员，但每次我发出请求时都无法通过403错误。

我使用的是一个服务帐户，我为它启用了“启用G套件域范围委托”选项。我还使用套件中的客户端ID添加了“https://www.googleapis.com/auth/admin.directory.user，https://www.googleapis.com/auth/admin.directory.group”作用域。

在代码方面，我使用的是Node，以及google从NPM提供的googleapis包。

外部JSON文件是我创建服务用户时下载的JSON凭据文件。

这是我试图获得请求的代码。

import { google } from 'googleapis';

async function getGroupUsers(){
const auth = await google.auth.getClient({
    keyFile: './src/jwt.keys.json',
    scopes: [
      'https://www.googleapis.com/auth/admin.directory.group',
      'https://www.googleapis.com/auth/admin.directory.group.member',
    ],
  });
  const admin = google.admin({
    version: 'directory_v1',
    auth,
  });

  const res = await admin.groups.get({
    groupKey: '[e-mail]',
  });
  console.log(res)
}

我看不出有什么明显的原因，因为我看不出用户为什么没有资源的权限？

显然这里遗漏了一些显而易见的东西，因为google的文档已经铺天盖地了。

非常感谢您的帮助！

谢谢

加雷思

Answer 1

好的，在许多敲打的头和谷歌我最后为那里与此，最后的工作代码如下，不包括客户端。主题值，这必须是一个管理员为该领域的问题。

async function validateToken(idToken) {

  const keys = JSON.parse(GOOGLE_CREDS);

  const client = auth.fromJSON(keys);

  client.scopes = [
    'https://www.googleapis.com/auth/admin.directory.user',
    'https://www.googleapis.com/auth/admin.directory.group',
  ];

  client.subject = '[e-mail]';

  const admin = google.admin({
    version: 'directory_v1',
    // auth,
    auth: client,
  });

  const res = await admin.groups.list({
    domain: 'redacted',
    userKey: email,
  });

  const { groups } = res.data;
  let role = '';

  // Check for user role
  if (containsGroup(USER_GROUP, groups)) {
    role = USER_GROUP;
  }

  // Check for admin role
  if (containsGroup(ADMIN_GROUP, groups)) {
    role = ADMIN_GROUP;
  }

  // Not an admin or user so return unathenticated
  if (role === '') {
    return authResponse();
  }

  return successResponse({
    'X-Hasura-User-Id': userid,
    'X-Hasura-Email': email,
    'X-Hasura-Role': role,
    'X-Hasura-Groups': groups.map(group => group.id),
    'Cache-Control': 'max-age=600',
  });
}