带有服务帐户的Google Admin SDK（无模拟）

Question

目标是在G-Suite平台中建立一个服务帐户，应用程序可以使用该帐户执行操作，而无需提示用户进行身份验证。

我们遇到的问题与下面的帖子非常相似，但略有不同。

只要我们遵循“模拟”流程，事情就会正常进行。使用模拟，授权规则遵循被模拟的用户。理想情况下，我们希望相应地作用于服务帐户，而不是模拟用户。当我们这样做时，我们经常收到403。

我们已经尽力按照这里的指示去做了:

https:>

我们的Java片段与此类似:

    final NetHttpTransport HTTP_TRANSPORT = GoogleNetHttpTransport.newTrustedTransport();

    File file = new File(MdmResource.class.getClassLoader().getResource("myproject.p12").getFile());

    GoogleCredential credential = new GoogleCredential.Builder()
        .setTransport(HTTP_TRANSPORT)
        .setJsonFactory(JSON_FACTORY)
        .setServiceAccountId("105601508644514129999")
        .setServiceAccountPrivateKeyFromP12File(file)
        .setServiceAccountScopes(
             Collections.singletonList(DirectoryScopes.ADMIN_DIRECTORY_USER_READONLY))
        .setServiceAccountUser("[e-mail]")  // 403 when this is commented out
        .build();

    Directory dir = new Directory(HTTP_TRANSPORT, JSON_FACTORY, credential);
    Get result = dir.users().get("[e-mail]");
    User user = result.execute();
    System.out.println(user.get("customerId"));

在GCP中，我们在作为超级管理员登录时创建了ServiceAccount。我们启用了域范围的委托并生成了密钥（在本例中，p12类型并使用相应的文件作为Java应用程序的输入）。

然后，在API库中，我们启用了Admin SDK。

在Google Admin中，在Security/Advanced settings下，我们设置作用域。我们使用了105601508644514129999和https://www.googleapis.com/auth/admin.directory.device.mobile.https://www.googleapis.com/auth/admin.directory.user.readonly.https://www.googleapis.com/auth/admin.directory.user

当我们运行Java代码时，当“SetServiceAccountUser”被注释掉（只要用户具有正确的权限，在模拟时可以正常工作）时，我们会看到以下情况:

{
  "code" : 403,
  "errors" : [ {
    "domain" : "global",
    "message" : "Not Authorized to access this resource/api",
    "reason" : "forbidden"
  } ],
  "message" : "Not Authorized to access this resource/api"
}

所以，看起来我们的SA没有正确地连接到作用域，但是我不知道怎么做。

另外，105601508644514129999是SA唯一ID和OAuth 2.0凭据的客户端ID，这些凭据是在SA创建过程中自动生成的。我们还为“setServiceAccountID”使用了SA电子邮件，如下面的示例所示，但仍然得到403。https://developers.google.com/admin-sdk/directory/v1/guides/development。实际上，我认为这个例子还有另一个问题。SetServiceAccountScopes。

最后。。。

        <dependency>
            <groupId>com.google.auth</groupId>
            <artifactId>google-auth-library-oauth2-http</artifactId>
            <version>0.20.0</version>
        </dependency>

        <!-- Used to navigate Google Directory services, like https://developers.google.com/admin-sdk/directory -->
        <dependency>
            <groupId>com.google.apis</groupId>
            <artifactId>google-api-services-admin-directory</artifactId>
            <version>directory_v1-rev117-1.25.0</version>
        </dependency>

有什么想法吗？

Answer 1

服务帐户不在G Suite域中（即使它们由其中的用户/项目拥有），因此不能被授予对G Suite域的管理访问权限。他们所能做的就是用域范围的委托来模拟域中的用户。

您可能需要考虑的是，使用客户机ID和机密授予作为管理员用户的常规OAuth，并确保获得长期有效的刷新令牌 。这将允许您在访问令牌过期时刷新该令牌，并继续充当单个管理员用户，只要他们不撤销您的访问权限。