使用 golang 在 google admin sdk api 上获取 400 invalid_grant。有什么建议？

Question

我正在尝试编写一个使用我的服务帐户来管理我的谷歌域的 golang 脚本。当我尝试创建一个简单的用户列表时出现错误：400 invalid_grant。看来我正在正确使用我的服务帐户（？），并且我的服务帐户是超级管理员。我在 java 代码中使用凭据；所以我知道它是有效的。有什么想法吗？

package main

import (
    "fmt"
    "io/ioutil"
    "log"

    "golang.org/x/net/context"
    "golang.org/x/oauth2/google"
    directory "google.golang.org/api/admin/directory/v1"
)

func main() {
    serviceAccountFile := "/credentials.json"
    serviceAccountJSON, err := ioutil.ReadFile(serviceAccountFile)
    if err != nil {
        log.Fatalf("Could not read service account credentials file, %s => {%s}", serviceAccountFile, err)
    }

    config, err := google.JWTConfigFromJSON(serviceAccountJSON,
        directory.AdminDirectoryUserScope,
        directory.AdminDirectoryUserReadonlyScope,
    )

    // Add the service account.
    config.Email = "serviceaccount@domain.com"

    srv, err := directory.New(config.Client(context.Background()))
    if err != nil {
        log.Fatalf("Could not create directory service client => {%s}", err)
    }

    // The next step fails with:
    //2019/03/25 10:38:43 Unable to retrieve users in domain: Get https://www.googleapis.com/admin/directory/v1/users?alt=json&maxResults=10&orderBy=email&prettyPrint=false: oauth2: cannot fetch token: 400 Bad Request
    //Response: {
    //  "error": "invalid_grant",
    //  "error_description": "Robot is missing a project number."
    //}
    //exit status 1
    usersReport, err := srv.Users.List().MaxResults(10).OrderBy("email").Do()
    if err != nil {
        log.Fatalf("Unable to retrieve users in domain: %v", err)
    }

    if len(usersReport.Users) == 0 {
        fmt.Print("No users found.\n")
    } else {
        fmt.Print("Users:\n")
        for _, u := range usersReport.Users {
            fmt.Printf("%s (%s)\n", u.PrimaryEmail, u.Name.FullName)
        }
    }
}

Answer 1

我得到了这个工作。似乎它可能是事物的组合。 DazWilkin，是的，当我切换如何传递我的服务帐户时，我得到了 401 未经授权的错误。我做了以下更改。

1. 在配置中使用主题而不是电子邮件。
2. 仅使用 AdminDirectoryUserScope 范围，而不是 AdminDirectoryUserReadonlyScope 范围（或两者的组合）。
3. 在请求中包含域。如果没有它，我会收到 400 Bad Request。
4. 我通过以下链接验证了目录 API 已启用：https://developers.google.com/admin-sdk/directory/v1/quickstart/go。当我点击这个链接时，它说 apis 已经在工作了。我在这里使用的 json 凭据与我在一些用其他语言编写的生产脚本中使用的凭据相同。意思是，我认为这已经到位。所以我认为我不需要执行此步骤，但我会将其包含在内，以防它对其他人有用。

这是我的脚本现在的样子：

package main

import (
    "fmt"
    "io/ioutil"
    "log"

    "golang.org/x/net/context"
    "golang.org/x/oauth2/google"
    directory "google.golang.org/api/admin/directory/v1"
)

func main() {
    serviceAccountFile := "/credentials.json"

    serviceAccountJSON, err := ioutil.ReadFile(serviceAccountFile)
    if err != nil {
        log.Fatalf("Could not read service account credentials file, %s => {%s}", serviceAccountFile, err)
    }

    // I want to use these options, but these cause a 401 unauthorized error
    //  config, err := google.JWTConfigFromJSON(serviceAccountJSON,
    //      directory.AdminDirectoryUserScope,
    //      directory.AdminDirectoryUserReadonlyScope,
    //  )
    config, err := google.JWTConfigFromJSON(serviceAccountJSON,
        directory.AdminDirectoryUserScope,
    )

    // Add the service account.
    //config.Email = "serviceaccount@domain.com" // Don't use Email, use Subject.
    config.Subject = "serviceaccount@domain.com"

    srv, err := directory.New(config.Client(context.Background()))

    if err != nil {
        log.Fatalf("Could not create directory service client => {%s}", err)
    }

    // Get the results.
    usersReport, err := srv.Users.List().Domain("domain.com").MaxResults(100).Do()
    if err != nil {
        log.Fatalf("Unable to retrieve users in domain: %v", err)
    }

    // Report results.
    if len(usersReport.Users) == 0 {
        fmt.Print("No users found.\n")
    } else {
        fmt.Print("Users:\n")
        for _, u := range usersReport.Users {
            fmt.Printf("%s (%s)\n", u.PrimaryEmail, u.Name.FullName)
        }
    }
}

Answer 2

已修复！

感谢萨尔。

这是一个有效的 Golang 示例：

https://gist.github.com/DazWilkin/afb0413a25272dc7d855ebec5fcadcb6

注意

• 第 24 行 --config.Subject
• 第 31 行 -- 您需要使用此 link 包含 CustomerId (IDPID)

这是一个工作 Python 示例：

https://gist.github.com/DazWilkin/dca8c3db8879765632d4c4be8d662074