应该在哪里创建Google服务帐户？应用程序的域？还是在每个客户端的域中？

Question

服务帐户是否打算在应用程序的域中创建？还是在客户的G Suite域中，代表应用程序？

背景：
我的公司有一个产品（以下简称“应用程序”），它有几千个组织作为客户，每个组织都可能拥有自己的Google域。（以下简称“组织域”）

我们希望在应用程序和组织域之间建立同步，用于应用程序和组织域之间的通用数据，并希望使用 OAuth2 连接，由域管理员代表其用户授予应用程序的“域范围权限”，以进行脱机同步。

从服务帐户页面：

…属于您的应用程序而不是单个最终用户的帐户。您的应用程序代表服务号调用Google API，因此用户不会直接参与。

和

G套件域管理员还可以

参考云平台控制台帮助常见问题:

您可以通过创建一个服务号来表示您的服务，然后让您的客户使用IAM策略授予该服务号对其云数据的适当访问权限，从而访问用户Google Cloud Platform项目中的数据。请注意，您可能希望为每个客户创建一个服务号…（着重号已添加）

听起来应用程序应该能够创建一个服务帐户，我们所有的客户端都针对其组织域对其进行身份验证。

不清楚的部分：
在服务帐户页面中，委派域范围权限的说明似乎与服务帐户的位置有关。在说明之前，它是这样的：

…首先为现有服务号启用域范围委托

之后，上面写着

您的应用程序现在有权以域中的用户身份进行API调用（“冒充”用户）。（强调添加）

从我阅读的内容来看，第一部分是“应用程序的一个服务帐户”，而后面的部分是“服务号只能以个人身份访问应用程序域，而不是组织域”。

是否打算在应用的域中创建服务帐户？还是在组织域中，代表应用程序？

我见过一些示例，让组织域管理员创建一个服务号，然后将clientID/机密传递给应用程序的所有者……但我不确定这是我们场景的正确方法。

相关-范围管理：委托步骤让组织域管理员手动添加范围。

我们更喜欢使用OAuth同意屏幕，它显示范围，并链接我们的页面/策略。不幸的是，据我的研究发现，服务帐户授权流中似乎没有使用该页面；仅适用于其他应用程序类型，它对单个用户进行身份验证，而不是整个组织域。

在谷歌的文档海洋中，有没有我错过的页面？

Answer 1

我想你是想念了解服务帐户的使用。

服务帐户是虚拟用户帐户。他们有自己的驾驶账户，日历账户，可能还有更多。服务帐户设计用于没有用户交互的后端应用程序服务器到服务器的通信。服务帐户是预先授权的。在您的情况下，您通过使用gsuite帐户的域范围专用性来授予服务帐户访问用户数据的权限。这样，服务帐户将能够例如发送控制所有用户的谷歌日历帐户。

这就是您不需要同意屏幕的原因。服务帐户的另一点是，您必须控制数据才能进行设置。如果您不控制数据，则无法授予服务帐户访问该数据的权限。

如果您想访问客户拥有的私有用户数据，您应该使用Oauth2。

至于你问题的其余部分非常广泛，我不是真正的用户，从哪里开始，你可能想把它分成几个问题。一次一个。我不确定我明白你想做什么，所以我不认为我可以尝试回答那部分。