Google Admin SDK 403未被授权访问此资源/API

Question

我在java web应用程序中使用以下代码来尝试获取组的所有用户:

GoogleCredential credential = GoogleCredential.fromStream(Util.class.getResourceAsStream("[credential_file].json")).createScoped(SCOPES);
Directory directory = new Directory.Builder(httpTransport, JSON_FACTORY, credential).build();
Directory.Members dirMem = directory.members();
Members members = dirMem.list("[group_email]").execute();

这会导致最后一行(dirMem.list…)出现异常403 (Not authorized to access This resource/API)。

从文档(https://developers.google.com/admin-sdk/directory/v1/guides/delegation)和其他帖子中，我看到解决这个问题的方法是使用setServiceAccountUser()设置一个服务帐户用户。但是，这意味着我必须使用p12文件而不是json文件(Google建议在创建密钥时使用json文件)。

是否有办法解决这个问题，而仍然使用json文件(它也涉及较少的代码)。

谢谢。

Answer 1

正如这个相关问题的答案所建议的那样，包括sub(主题，我认为)，以指示您的Google Apps帐户中委托管理员的电子邮件地址，这是API调用工作的必要步骤。委派的管理员可能还需要获得访问/修改您正在调用的数据或端点的授权。由于我的经验是使用PHP客户端，而不是Java，所以我不知道如何将该电子邮件地址提供给示例中使用的Java类的具体细节。

Answer 2

现在，我只使用如下所示的p12文件:

https://developers.google.com/admin-sdk/directory/v1/guides/delegation

如果有人知道用json文件执行这个问题中的代码的方法，请随时评论/回答。

Answer 3

由于JSON凭证不支持serviceAccountUser，我已经完成了解决方案:制作凭证副本。

查看这里的代码:https://stackoverflow.com/a/42313446/548473

Answer 4

通过使用JSON文件设置管理电子邮件的解决方案:

import com.google.api.client.googleapis.auth.oauth2.GoogleCredential;
import com.google.api.services.admin.directory.Directory;
import com.google.api.services.admin.directory.DirectoryScopes;
import static com.google.api.client.googleapis.util.Utils.getDefaultJsonFactory;
import static com.google.api.client.googleapis.util.Utils.getDefaultTransport;
// ...
String ADMIN_EMAIL = "[e-mail]";
String jsonConfigFile = "/GSuite Integration.json";
List<String> scopes = Arrays.asList(DirectoryScopes.ADMIN_DIRECTORY_USER, DirectoryScopes.ADMIN_DIRECTORY_USERSCHEMA_READONLY);
GoogleCredential credential;
try (InputStream is = CredentialsWorkaroundTest.class.getResourceAsStream(jsonConfigFile)) {
    credential = GoogleCredential.fromStream(is)
        .createDelegated(ADMIN_EMAIL)
        .createScoped(scopes);
}
Directory service = new Directory.Builder(getDefaultTransport(), getDefaultJsonFactory(), credential)
        .setApplicationName(APPLICATION_NAME)
        .build();

(不需要域范围内的委托)

注意——使用 google-api-client 版本1.28.0