Gmail API支持使用OAuth服务帐户吗？

Question

我正在尝试将Gmail API与Python Google客户端库结合使用。

我已经通过Google开发者控制台创建了服务帐户凭据。

然后我尝试使用这些凭证，如下所示：

from oauth2client.client import SignedJwtAssertionCredentials
client_email = '<sanitised>@developer.gserviceaccount.com'

with open("foobar-<sanitised>.p12") as f:
    private_key = f.read()
    credentials = SignedJwtAssertionCredentials(client_email, private_key, 'https://www.googleapis.com/auth/gmail.readonly')

from httplib2 import Http
http_auth = credentials.authorize(Http())
from apiclient.discovery import build
gmail_server = build('gmail', 'v1', http=http_auth)

但是，当我尝试使用实际的Gmail API时，我得到一个HTTP 500错误：

In [13]: threads = gmail_server.users().threads().list(userId='me').execute()
---------------------------------------------------------------------------
HttpError                                 Traceback (most recent call last)
<ipython-input-13-a74134635cc3> in <module>()
----> 1 threads = gmail_server.users().threads().list(userId='me').execute()

/Users/victorhooi/.virtualenvs/kenny/lib/python2.7/site-packages/oauth2client/util.pyc in positional_wrapper(*args, **kwargs)
    133         else: # IGNORE
    134           pass
--> 135       return wrapped(*args, **kwargs)
    136     return positional_wrapper
    137

/Users/victorhooi/.virtualenvs/kenny/lib/python2.7/site-packages/googleapiclient/http.pyc in execute(self, http, num_retries)
    721       callback(resp)
    722     if resp.status >= 300:
--> 723       raise HttpError(resp, content, uri=self.uri)
    724     return self.postproc(resp, content)
    725

HttpError: <HttpError 500 when requesting https://www.googleapis.com/gmail/v1/users/me/threads?alt=json returned "Backend Error">

一位用户在这里提到，显然“服务账户”不支持使用GMail应用编程接口：

https://stackoverflow.com/a/24645874/139137

是否有人能够确认这是真的，或者谷歌是否在任何地方记录了此事？

我的假设是，由于服务帐户凭据是通过用户的Google Developer控制台创建的，所以它只会与该用户关联，应该可以正常工作？

编辑：

我还应该提到，我确实尝试将我的客户端显式添加到谷歌应用程序管理控制台中的“管理客户端应用编程接口访问”页面：

然而，我仍然得到HTTP 500后端错误。

此外，该页面上的帮助链接指向OAuth 1.0特定页面——我怀疑该页面仅适用于OAuth 1.0，尽管那里没有明确提到。

编辑2

此外，我应该提到，我曾尝试在以下位置使用Google API Explorer：

https://developers.google.com/apis-explorer/#p/gmail/v1/gmail.users.messages.list?userId=me

使用OAuth 2.0和交互式用户流，它工作正常（即它列出电子邮件）。

编辑3

我试着按照Jay Lee的建议添加sub参数。

在我自己的谷歌应用程序域，它确实有效：

from oauth2client.client import SignedJwtAssertionCredentials
client_email = '<sanitised>@developer.gserviceaccount.com'
with open('foo-bar-<sanitised>.p12') as f:
    private_key = f.read()
credentials = SignedJwtAssertionCredentials(client_email, private_key, 'https://www.googleapis.com/auth/gmail.readonly', sub='[e-mail]')
from httplib2 import Http
http_auth = credentials.authorize(Http())
from apiclient.discovery import build
gmail_server = build('gmail', 'v1', http=http_auth)
threads = gmail_server.users().threads().list(userId='me').execute()

然后线程给了我：

In [12]: threads
Out[12]:
{u'nextPageToken': u'00058094761552980977',
 u'resultSizeEstimate': 178,
 u'threads': [{u'historyId': u'8942',
   u'id': u'14abc26f1893823b',
   u'snippet': u''},
  {u'historyId': u'8822', u'id': u'14a4ffc2724e9384', u'snippet': u''},
  {u'historyId': u'8769', u'id': u'14a36a9c6f552af3', u'snippet': u''},
  {u'historyId': u'8716', u'id': u'14a31822f19bb161', u'snippet': u''},
  {u'historyId': u'8671', u'id': u'14a2bee13eb87c07', u'snippet': u''},

然而，当我尝试在我的公司谷歌应用程序域中使用sub参数时，当我到达以下行时：

gmail_server = build('gmail', 'v1', http=http_auth)

这给了我错误：

AccessTokenRefreshError: access_denied: Requested client not authorized.

我相当确定客户端确实存在于Google Developer的控制台中，并且Gmail API已启用。我只是不确定为什么sub参数会触发该错误。

然后，如果我在公司的谷歌应用程序域中使用不同的帐户尝试相同的代码，但没有被授权，我会得到：

AccessTokenRefreshError: unauthorized_client: Unauthorized client or scope in request.

Answer 1

尝试使用：

credentials = SignedJwtAssertionCredentials(client_email, private_key,
  'https://www.googleapis.com/auth/gmail.readonly', sub='[e-mail]')

哪里[e-mail]是您希望模拟的用户。