在请求中使用访问令牌来获取用户禁止 403

Question

我已经能够使用 google admin api 登录到 google 应用程序并检索用户列表。我需要使用 HTTPClient 做类似的事情。我之前创建了一个服务帐户，并且能够使用 JWT 方法获取访问令牌。 已使用管理控制台高级安全设置授予范围授权权限。

我需要使用此访问令牌来创建/更新/读取用户。尽管有对给定服务帐户的授权请求（这就是我获得令牌的方式），但我收到了禁止错误。

   {
    "domain": "global",
    "reason": "forbidden",
    "message": "Not Authorized to access this resource/api"
   }
  ],
  "code": 403,
  "message": "Not Authorized to access this resource/api"
 }
}

我已经检查了这个访问令牌

curl https://www.googleapis.com/oauth2/v1/tokeninfo?access_token=#access_token

并查看它是有效的令牌。

示例 Java 代码段

     public void createUser()  {


        String params="{"
              +"\"name\": {"
              +"\"familyName\": \"Smith\","
              +"\"givenName\": \"John\","
              +"\"fullName\": \"John Smith\""
              +"},"
              +"\"password\": \"<some password>\","
              +"\"primaryEmail\": \"john.smith@xyz.net\","
              +"\"isAdmin\": false,"
              +"\"isDelegatedAdmin\": false,"
              +"\"isMailboxSetup\": true"
              +"}";


        PostMethod method =null;
        try {

            JSONObject json=new JSONObject(params);
            String url="https://www.googleapis.com/admin/directory/v1/users";
            //+ "?access_token="+ accessToken;
            method = new PostMethod(url);
            method.addRequestHeader("Content-Type", "application/json");
            method.addRequestHeader("Authorization","Bearer " + accessToken);

            method.setRequestEntity(new StringRequestEntity(json.toString(),
                    "application/json", null));
            method.execute();
            System.out.println(method.getResponseBodyAsString());
            if (method.getStatusCode() == HttpStatus.SC_CREATED) {
                try {
                    JSONObject response = new JSONObject(method.getResponseBodyAsString());
                    if (response.getBoolean("success")) {
                        System.out..println( "User Account created Successfully. <br>");
                    }
                } catch (JSONException e) {
                    e.printStackTrace();
                }
            }
        } catch (Exception e) {
            e.printStackTrace();
        } finally {
            method.releaseConnection;
        }

        return null;
    }

Answer 1

这3个属性是只读的，创建用户时不应设置。

+"\"isAdmin\": false,"
+"\"isDelegatedAdmin\": false,"
+"\"isMailboxSetup\": true"

不过，这可能不是根本问题。错误消息表示权限问题，而不是身份验证问题。访问令牌从何而来？你在验证谁？如果它是服务帐户，则服务帐户需要拥有 Google Apps 实例的been granted domain-wide access 和拥有创建用户权限的be impersonating an admin in the Google Apps domain。如果访问令牌由普通 Google 帐户用户授权，则该用户必须是 Google Apps 域中的管理员或具有正确权限的经销商。如果 primaryEmail 属性中存在拼写错误，您会经常看到此错误。