谷歌服务帐户：委托域范围的授权，只模拟一个用户

Question

我们需要访问谷歌日历API与服务器应用程序，以创建事件和邀请与会者。谷歌建议使用服务帐户的应用程序。

这里的主要问题是与会者邀请参加活动，因为如果没有域范围的授权，服务帐户就不能这样做（请参见img）。

组织不希望授予服务帐户访问所有用户数据的权限。所以，我想知道我们是否可以将域范围的授权委托给域的一个用户？（限制访问以使用其他用户的数据）。

附言。它只是关于谷歌日历API。

非常感谢你的帮助。

Answer 1

我仍然不确定这个问题是否与编程相关，但是，如果您只想“在代码中”查看如何委托给用户，这里有一个使用C#的示例，其中gsuiteUser被添加到初始化ServiceAccountCredential的代码中。

在运行时，此代码将像GSuiteUser正在运行代码一样运行。对于该用户在gsuite域上拥有的任何访问权限，服务帐户都将拥有。没有办法再限制这种访问了。服务帐户是虚拟用户，他们可以被预先授权拥有用户的访问权。

string ApplicationName = "Calendar API .NET Quickstart";
            const string serviceAccount = "[e-mail]";

            var certificate = new X509Certificate2("cred.p12", "notasecret", X509KeyStorageFlags.Exportable);

            var gsuiteUser = "[e-mail]";

            var serviceAccountCredentialInitializer = new ServiceAccountCredential.Initializer(serviceAccount)
            {
                User = gsuiteUser,   // Service account will run as this user
                Scopes = new[] { CalendarService.Scope.read }

            }.FromCertificate(certificate);

            var credential = new ServiceAccountCredential(serviceAccountCredentialInitializer);
            if (!credential.RequestAccessTokenAsync(CancellationToken.None).Result)
                throw new InvalidOperationException("Access token failed.");

            var service = new CalendarService(new BaseClientService.Initializer()
            {
                HttpClientInitializer = credential,
                ApplicationName = ApplicationName,
            });