如何授权服务帐户访问 Google Admin API

Question

我们正在尝试创建与 Google Admin SDK 的集成，以便能够在我们的域中检索、更新和创建帐户。但是，我们不断收到 403 错误，表明我们无权访问资源/api。

我们正在使用从启用了域范围的授权委托和以下两个范围的服务帐户获得的凭据： https://www.googleapis.com/auth/admin.directory.user.readonly，https://www.googleapis.com/auth/admin.directory.user。我们正在生成 JWT（也包括这两个范围），然后向 https://www.googleapis.com/oauth2/v4/token 发送请求以检索访问令牌。

然后我们使用访问令牌向https://www.googleapis.com/admin/directory/v1/users?domain=XXXX.com 发送请求。我们将访问令牌作为不记名令牌包含在标头中。 在响应中，我们收到以下消息：

{
    "error": {
        "errors": [
            {
                "domain": "global",
                "reason": "forbidden",
                "message": "Not Authorized to access this resource/api"
            }
        ],
        "code": 403,
        "message": "Not Authorized to access this resource/api"
    }
}

是否可以澄清我们做错了什么？

Answer 1

问题在于 JWT 必须包含 sub 字段：应用程序为其请求委托访问的用户的电子邮件地址。

Answer 2

为此，您必须设置domain wide delegation，然后您的服务帐户才能访问相关数据。

1. 在表中找到新创建的服务帐户。在操作下，点击 more_vert，然后点击编辑。
2. 在服务帐户详细信息中，单击 expand_more 显示域范围委派，然后确保选中启用 G Suite 域范围委派复选框。
3. 如果您尚未配置应用的 OAuth 同意屏幕，则必须先配置，然后才能启用域范围的委派。按照屏幕上的说明配置 OAuth 同意屏幕，然后重复上述步骤并重新选中复选框。
4. 单击保存以更新服务帐户，并返回服务帐户表。可以看到一个新列，域范围的委派。点击查看客户 ID，获取并记下客户 ID。