Google Calendar API 服务帐户错误

Question

我收到这个错误

{ "error": 
     { "errors": 
         [
            { "domain": "calendar", "reason": "forbiddenForServiceAccounts", "message": "Service accounts cannot invite attendees without Domain-Wide Delegation of Authority." } 
         ], 
         "code": 403,
         "message": "Service accounts cannot invite attendees without Domain-Wide Delegation of Authority."
      } 
}

已经关注了 https://developers.google.com/admin-sdk/directory/v1/guides/delegation

我正在使用这个库并在 laravel 5.7 上运行它：https://github.com/spatie/laravel-google-calendar

有什么办法可以解决这个问题。请帮忙。

Answer 1

以下是完成这项工作的步骤：

在您的服务帐户中启用域范围委派

1 - 为您的服务帐号提供日历范围

• 转到https://admin.google.com/ 并使用 G Suite 帐户登录。
• 转到安全 -> API 控制 -> 域范围委派
• 添加新 => 设置您的服务帐户的客户端 ID（只有数字的那个）
• 设置以下范围：https://www.googleapis.com/auth/calendar,https://www.googleapis.com/auth/calendar.events,https://www.googleapis.com/auth/admin.directory.resource.calendar

2 - 您的用户需要具有角色服务帐户令牌创建者

• 然后转到https://console.cloud.google.com/iam-admin
• 选择您的项目并转到左侧菜单中的 IAM。
• 选择您将用来模拟的帐户
• 点击编辑
• 添加角色服务帐户令牌创建者
• 根据https://developers.google.com/admin-sdk/directory/v1/guides/delegation 为帐户启用域委派，要启用 G Suite 域范围委派，请按以下步骤操作。

3 - 在您将模拟的帐户中创建日历

服务帐户没有日历，因此您必须创建自己的日历

• 使用您想要拥有日历的电子邮件登录https://calendar.google.com/（我使用了不同的帐户，与我要模拟的帐户不同，也许它可以使用模拟帐户中的日历）
• 创建日历
• 与有权修改和管理日历的服务帐户共享日历
• 与您将模拟的具有修改和管理日历权限的帐户共享日历

创建谷歌客户端

• 验证您的服务帐户。 （我使用了 JSON 密钥，我不确定其他身份验证是否适用于此目的）

代码示例：（我使用了 PHP，但我认为其他语言非常相似，因此您可以以此为指导）

请注意，使用一些电子邮件进行 IMPERSONALIZATION 至关重要。否则，403 错误会一直存在，请使用它进行身份验证，详情请参阅 Maksym Kalin 响应。

$google_client = new Google_Client();
$google_client->setAuthConfig($LOCATION_OF_JSON_KEY);
$google_client->setAccessType( 'offline' );
$google_client->setSubject('EmailToImpersonate@SomeAddress.com');
$google_client->setApplicationName("YourApplicationName");
$google_client->setScopes([\Google_Service_Calendar::CALENDAR, \Google_Service_Calendar::CALENDAR_EVENTS]);

与受邀者一起创建活动 :) 并享受！

注意： 通过这种方法，您可以创建活动并邀请人们参加。请记住 G Suite https://support.google.com/a/answer/2905486 的限制，因此如果您想创建许多活动，您将需要一个服务帐户池和一个日历池。

Answer 2

向服务帐户授予域范围权限的目的是让这些帐户能够代表域中的用户访问数据。

如果您授予它域范围的权限但没有“模拟”任何帐户，则服务帐户的行为就像您没有授予此权限一样：它正在尝试访问自己的日历。

当服务帐户模拟域中的另一个用户时（即，当它代表用户行事时），服务帐户可以访问该用户可以访问的资源。

要模拟其他用户，您必须指定用户的电子邮件地址。 就我而言，我使用 Node.JS 库，我的模拟代码如下所示：

const auth = new google.auth.JWT(
  config.client_email,
  null,
  config.private_key,
  ["https://www.googleapis.com/auth/calendar.events"],
  "!!! user email to impersonate !!!!",
);

更重要的是，如果您需要填写参加者[]数组，您必须授权服务帐户发送电子邮件。因为你得到了未经授权的错误。

为此，您需要在 G Suite 域的管理控制台上添加 https://www.googleapis.com/auth/gmail.send 范围。

您可以在这里找到更多信息：https://issuetracker.google.com/issues/14170493

Answer 3

仅供参考

在我的情况下，在 Node.js 上，我遵循了 @Anathorn 的指示，但我不断得到

服务帐户无法在没有全域授权的情况下邀请与会者

然后我在我的身份验证行中添加了我应该替换的电子邮件，并且它起作用了。

const auth = new google.auth.JWT(
    CREDENTIALS.client_email,`
    null,
    CREDENTIALS.private_key,
    SCOPES,
    "admin@domain.com",
    "12345678987654321"
);

Answer 4

对于使用 googleapis-nodejs-client 库的用户，我们在 a issue in the google-auth-library-nodejs github page 上提供了解决方案。

从@Anathorn 执行所有配置步骤并以这种方式记录服务帐户对我有用：

const auth = new google.auth.GoogleAuth({
keyFile: './service.json',
scopes: [
  'https://www.googleapis.com/auth/calendar',
  'https://www.googleapis.com/auth/calendar.events'
],
clientOptions: {
  subject: 'email@email.com'
},

});

编辑： 它只能在本地工作！

据我所知，在具有域范围权限的 GCP（对我来说是云功能）上运行时，您不能使用应用默认凭据，只有使用带有 JWT 的身份验证才能工作。

Answer 5

对于可能遇到此问题的其他任何人，对我来说，这是 Anathorn 的回答和 Maksym Kalin 的回答的结合。这是因为我没有冒充用户的电子邮件地址。

一个用户之前尝试过提交你正在使用的同一个库（我也在使用它），但是被 repo 所有者拒绝了（多么悲伤）

https://github.com/spatie/laravel-google-calendar/pull/97

无论如何，他的代码是我最终修复它的方法。

祝其他遇到此问题的人好运，这让我很痛苦太久了。