允许 GCloud 服务帐号访问特定用户的 G Suite 帐号吗？

Question

我们有一个用例，我们需要允许服务帐号访问特定用户的 G Suite 帐号，但不允许访问任何其他用户的 G Suite 帐号。我们的第一种方法是全域委派，但这当然过于宽泛——它只通过更改模拟目标就授予对所有用户帐户的全权访问权限，从安全角度来看这是不可接受的.而且，由于这是一个服务器到服务器的操作，上面没有任何 UI，因此手动授权流程是 Right Out™ - 这必须完全从 G Suite 管理面板/GCloud 或通过登录主 G Suite 中某处的用户。

有什么方法可以实现吗？期望的最终结果是服务帐户能够模拟 一个 用户，但尝试与任何其他用户一起这样做会导致权限违规。

Answer 1

您可以将服务帐户视为身份。所以你有一个关于这个身份的电子邮件。

所以你有两种方式访问​​目标用户：

• 当然，您可以通过域范围的委派向整个用户授予访问权限，这太危险了
• 或者，目标用户可以将服务帐户电子邮件添加为不同事物（日历、文档、驱动器等）的所有者

您还可以使用具有域范围委派的另一个服务帐户执行此权限授予。

---

如果总结，没有奥秘：

• 要么你是超级管理员
• 或者您被用户授权代表他们执行操作