响应 REST API 获取 admin_view 的权限是什么：https://www.googleapis.com/admin/directory/v1/users?viewType=admin_view'

Question

在使用 Google Admin SDK REST API（获取域中的用户列表）：https://www.googleapis.com/admin/directory/v1/users?domain='时，我总是遇到 403（未授权错误）。 “代码”：403， "message": "无权访问此资源/api"

但是，如果我只更改其中一个查询参数的值，即 viewType 从 'admin_view' 更改为 'domain_public'，它会成功。因此，它表明我用来调用此查询的帐户没有“admin_view”的必要权限。

我正在使用 G-suite 帐户执行 REST API，但它没有 SUPER ADMIN 权限。同样，出于安全原因，我不想为该用户分配无限权限。

所以，我在这里有两个尖锐的查询：

1. 获取上述 REST API 的“admin_view”的精确权限集是什么？
2. 与其使用 G-Suite 用户帐户，不如创建一个与包含所有必要权限的自定义/开箱即用角色关联的服务帐户，并使用该服务帐户启动 REST API 查询?它会起作用吗？我觉得这是“理论上”更安全、更合适的方式？

Answer 1

我认为问题在于使用的帐户不是域的管理员，因此无法访问 Admin View Directory API。

要解决此问题，请添加delegate domain-wide authority to your service account，然后面对以下注释

只有有权访问 Admin API 的用户才能访问 Admin SDK 目录 API，因此您的服务帐户需要模拟 其中一位用户可以访问 Admin SDK Directory API。 此外，用户必须至少登录一次并接受 G Suite 服务条款。

在您提出请求时冒充域管理员：

$cred = new Google_Auth_AssertionCredentials(
    $service_account_name,
    $authArray,
    $key
);
$cred->sub = "admin@yourdomain.com";