如何授权服务帐户访问Google Admin API

Question

我们正在尝试创建一个与谷歌管理SDK的集成，以便能够检索，更新和创建帐户在我们的领域。但是，我们不断收到一个403错误，表明我们没有被授权访问Resource/API。

我们正在使用从一个服务帐户获得的凭据，该帐户启用了域范围的授权，并且具有以下两个作用域:https://www.googleapis.com/auth/admin.directory.user.readonly，https://www.googleapis.com/auth/admin.directory.user。我们正在生成JWT（它也包括这两个作用域），然后向https://www.googleapis.com/oauth2/v4/token发送请求以检索访问令牌。

然后，我们使用访问令牌向https://www.googleapis.com/admin/directory/v1/users?domain=xxxx.com发送请求。我们将访问令牌作为承载令牌包括在内，作为报头的一部分。在响应中，我们得到以下消息:

{
    "error": {
        "errors": [
            {
                "domain": "global",
                "reason": "forbidden",
                "message": "Not Authorized to access this resource/api"
            }
        ],
        "code": 403,
        "message": "Not Authorized to access this resource/api"
    }
}

有没有可能澄清一下我们做错了什么？

Answer 1

问题是JWT必须包括 字段:应用程序请求委托访问的用户的电子邮件地址。

Answer 2

为了使其工作，您必须设置域范围的委托，通过这样做，您的服务帐户将有权访问所讨论的数据。

<在表中重新定位新创建的服务帐户。在“操作”下，单击“更多vert”，然后单击“编辑”。/LI>
1. 在服务帐户详细信息中，单击expand_more显示域范围委派，然后确保选中启用G套件域范围委派复选框。/li> 程序的oauth同意屏幕，则必须先进行配置，然后才能启用域范围的委派。按照屏幕上的说明配置oauth同意屏幕，然后重复上述步骤并重新选中复选框。 i="">