为 Google 服务帐户电子邮件创建别名？

Question

我与我的 Google 服务帐户电子邮件共享了一个 Google 表格，其内容如下：

myappname-service@myappname-266229.iam.gserviceaccount.com

这允许我的应用程序访问该 Google 表格。

我希望能够与自定义电子邮件地址（例如 google@myappname.com）共享 Google 表格，该电子邮件地址是那个丑陋的自动生成的服务帐户电子邮件 (myappname-service@myappname-266229.iam.gserviceaccount.com) 的别名。

我该怎么做呢？

编辑：

用于与 Google API 交互的代码示例

from google_auth_httplib2 import AuthorizedHttp
from google.oauth2 import service_account
import pygsheets

def _get_gc():
    scope = ['https://www.googleapis.com/auth/spreadsheets']
    credentials = service_account.Credentials.from_service_account_file(
        settings.GOOGLE_SERVICE_AUTH_FILE,
        scopes=scope,
    )
    http = AuthorizedHttp(credentials, http=HTTP)
    logger.info('Created GC creds, returning...')
    return pygsheets.authorize(custom_credentials=credentials, http=http)


def do_something(url):
    gc = _get_gc()
    spreadsheet = gc.open_by_url(url)

Answer 1

问题 - 服务帐户不能有别名：

与常规帐户不同，服务帐户不能有别名。他们的电子邮件地址定义为：

• 对应项目的名称。
• 服务帐户的名称。

你不能给它额外的别名。

解决方法 - 冒充普通帐户：

如果您想避免与自动生成的服务帐户电子邮件地址共享 Google 表格，但又想继续使用服务帐户与 API 进行交互，那么您最好的选择是与常客共享表格具有可接受的电子邮件地址的帐户，并在与 API 交互时使用服务帐户模拟此常规帐户。

1。委派全域权限：

关于服务帐户的最有用的事情之一是，您可以授予它模拟您域中的任何用户并代表它访问数据的能力。这称为域范围委派，可以通过以下these steps 为服务帐户激活它：

重要提示：您需要成为 G Suite 域的管理员才能委派域范围的权限。

2。冒充：

此时，您的服务帐户可以模拟帐户中的任何用户。要实际模拟帐户，您只需在构建凭据时指定要模拟的帐户。

在您的具体情况下，您需要在调用from_service_account_file 时提供参数subject，正如您在this page 的域范围委派部分中看到的那样：

    credentials = service_account.Credentials.from_service_account_file(
        settings.GOOGLE_SERVICE_AUTH_FILE,
        scopes=scope,
        subject="your-account@your-domain.com"
    )

参考：

• Delegating domain-wide authority to the service account