Google SDK API - 按服务帐户更新 Workspace 用户个人资料数据（无权访问此资源/api）

Question

我正在尝试将我们的用户个人资料从我们的内部 SaaS 同步到 Google Workspace 用户个人资料。尤其是（性别、电话、职位、部门）。 看了半天，发现在谷歌云项目中通过OAuth是不行的，但是需要创建一个服务账号。我已经创建了它，但我仍然收到响应无权访问此资源/api。

• 已启用域范围委派。
• Admin SDK API 已启用。
• 在 Workspace 安全性中启用了范围为“https://www.googleapis.com/auth/admin.directory.user”的 API 客户端访问。

服务帐号权限：

代码：

        $config = __DIR__ . '/project-users.json';

        $client = new \Google\Client();
        $client->setApplicationName('project-users');
        $client->setAuthConfig($config);
        $client->addScope(Google_Service_Directory::ADMIN_DIRECTORY_USER);
        $client->setSubject('admin@domain.com');
        $client->setAccessType('offline');

        $gsdService = new \Google\Service\Directory($client);
        
        $googleUser = new \Google\Service\Directory\User();
        // Gender
        $gender = new \Google\Service\Directory\UserGender();
        $gender->setType('male');
        // Phone
        $phone = new \Google\Service\Directory\UserPhone();
        $phone->setType('mobile');
        $phone->setValue('123456789');
        $googleUser->setPhones([$phone]);
        // jobTitle and department
        $organization = new \Google\Service\Directory\UserOrganization();
        $organization->setPrimary(TRUE);
        $organization->setTitle('Lead Developer');
        $organization->setDepartment('Dev');
        $googleUser->setOrganizations([$organization]);
        
        $gsdService->users->update('fname.lname@domain.com', $googleUser);

Answer 1

使用具有域范围委派的服务帐户时，您需要模拟具有必要授权的用户

• Directory API 方法users.update 只能由具有相应角色/权限的域管理员执行。
• 见how to make a user an admin。
• 如果有疑问，您可以使用授权为“admin@domain.com”的 [Try this API](Try this API) 进行测试，以验证此用户是否具有必要的权限。