使用 google-api-python-client 访问 G Suite Admin SDK 时收到 403 错误

Question

我正在尝试编写一个简单的脚本，该脚本将使用 google-api-python-client 从我的 Google G Suite 域从 Admin SDK 的 Directory API 获取用户列表。我阅读了大量文档，尝试了数百种不同的请求，但总是收到：googleapiclient.errors.HttpError: <HttpError 403 when requesting https://www.googleapis.com/admin/directory/v1/users?domain=example.com&alt=json returned "Not Authorized to access this resource/api"> 错误。

这就是我所做的：

1. 在 Google 开发者控制台https://console.developers.google.com：

   • 创建了一个新项目
   • 已启用“Admin SDK”API。
   • 创建了服务帐号密钥
   • 将生成的密钥保存到“service-key.json”文件中

2. 在 G Suite 管理控制台中：

   • API 访问已启用
   • 管理 SDK 已启用
   • 服务密钥 ^^ 的“客户端 ID”被授权“查看您域上的用户”，范围：API 客户端访问控制台部分中的https://www.googleapis.com/auth/admin.directory.user.readonly。

3. 创建了一个简单的测试脚本：

   #!/usr/bin/env python3
   
   import json
   from httplib2 import Http
   from oauth2client.service_account import ServiceAccountCredentials
   from apiclient.discovery import build
   
   scopes = ['https://www.googleapis.com/auth/admin.directory.user.readonly']
   
   credentials = ServiceAccountCredentials.from_json_keyfile_name(
       'service-key.json', scopes)
   
   account = credentials.authorize(Http())
   service = build('admin', 'directory_v1', http=account)
   response = service.users().list(domain='example.com').execute()
   
   print(response)
   

其他：

• 还尝试了“启用 G Suite 域范围委派”（在 ServiceAccountCredentials 对象上使用了 create_delegated() 方法）
• 我在 Google 开发者控制台 - 仪表板中看到，脚本正在发出正确的请求 - 可以看到正在发出 'directory.users.list' API 方法，但失败并出现 403 错误

提前感谢您的帮助！

Answer 1

@Mr.Rebot 的建议对我有用。基本服务帐户不起作用，但冒充管理员（您已启用它）允许 API 调用通过。