如何使用服务帐户从API创建谷歌共享驱动器？

Question

我试图创建一个共享驱动器（在谷歌驱动器），使用API v3（通过python客户端库google-api-python-Client）。下面的代码：

import uuid
from googleapiclient.discovery import build

drive_metadata = {'name': 'Test shared drive'}
request_id = str(uuid.uuid4())
drive = service.drives().create(
    body=drive_metadata,
    requestId=request_id,
    fields='id'
).execute()
drive_id = drive.get('id')
print(f'Drive ID: {drive_id}')

但出现了一个错误：

GoogleapClient。错误。HttpError：

错误是直观的，但我的问题是关于我需要给API用户帐户的正确权限，因为：

• 这个用户不是个人帐户，但它是服务帐户，因为它在API中使用，应该为我的应用程序的每个客户创建一个共享驱动器
• 我的公司使用Google Workspace（用于商业），我的个人帐户有创建共享驱动器的权限（在这种情况下，我是GCP项目管理员）。但GCP控制台不允许在公司域中创建服务帐户：
  • 服务帐户似乎只存在于项目范围内，因此，它不属于同一个公司域。也就是说，服务帐户属于“iam.gserviceaccount.com”，无法访问域的共享驱动程序

  因此，我有两个问题：

  1. 我可以使用服务帐户创建共享驱动器吗
  2. 如果是，服务帐户应该拥有什么样的权限（可能是GCP角色）

Answer 1

正如DalmTo所说，将域范围内的权限委托给服务帐户，并模拟用户帐户，wich有创建共享驱动器的特权，那么API工作正常（更好的是：所有通过模拟创建的工件都显示为由模拟用户创建）。

你可以在这里看到如何做到这一点：https://developers.google.com/identity/protocols/oauth2/service-account#delegatingauthority

谢谢DalmTo！