通过Firebase Functions创建Google Group时遇未授权访问错误

我希望在Firestore数据库新增条目时，通过Firebase Functions调用Google Admin API创建唯一的Google Group。functions/index.js中的onCreate函数会调用createSupplierOrderChannel函数执行创建操作，相关代码如下：

async function createSupplierOrderChannel(orderId, supplierId, customerEmail, supplierEmail) {
  const auth = new google.auth.GoogleAuth({
      scopes: [
        'https://www.googleapis.com/auth/admin.directory.group',
        'https://www.googleapis.com/auth/admin.directory.user',
        'https://www.googleapis.com/auth/admin.directory.group.member'
      ]
  });
  
  const client = await auth.getClient();
  console.log('Service Account Email:', await auth.getCredentials());
  const googleAdmin = google.admin({
      version: 'directory_v1',
      auth: client
  });
  
  const groupEmail = `order-${orderId}-supplier-${supplierId}@${GOOGLE_WORKSPACE_DOMAIN}`;
  
  // Create Google Group
  await googleAdmin.groups.insert({
      requestBody: {
          email: groupEmail,
          name: `Order ${orderId} - Supplier ${supplierId}`,
          description: `Communication channel for order ${orderId} with supplier ${supplierId}`
      }
  });
  
  return groupEmail;
}

使用的是格式为project-name@appspot.gserviceaccount.com的Firebase服务账号，我已为该客户端ID在域范围委派中添加了以下权限：

https://www.googleapis.com/auth/admin.directory.group.member
https://www.googleapis.com/auth/admin.directory.user
https://www.googleapis.com/auth/admin.directory.group
https://www.googleapis.com/auth/admin.directory.user.security

但运行函数时日志中仍出现错误：

Error: Not Authorized to access this resource/api

请问我缺少了什么权限？

这个问题不是缺少OAuth权限范围，而是域范围委派的服务账号需要模拟一个拥有Google Workspace管理员权限的用户，同时当前代码未指定要模拟的用户邮箱，导致权限不足。

核心问题分析 #

1. 域范围委派的服务账号本身没有直接操作Google Admin API的权限，必须模拟一个具备对应管理权限的Workspace用户（比如域管理员邮箱）。
2. 现有代码的google.auth.GoogleAuth初始化未添加subject参数，API调用时没有以授权用户身份执行，触发权限拦截。

修改步骤 #

1. 在Google Workspace后台，给要模拟的用户分配群组管理权限（比如"Groups Administrator"角色）。
2. 修改代码中的auth初始化逻辑，添加subject字段指定模拟的管理员邮箱：

const auth = new google.auth.GoogleAuth({
    scopes: [
      'https://www.googleapis.com/auth/admin.directory.group',
      'https://www.googleapis.com/auth/admin.directory.user',
      'https://www.googleapis.com/auth/admin.directory.group.member'
    ],
    subject: 'admin@your-domain.com' // 替换为你的Workspace管理员邮箱
});

额外检查项 #

• 确认Firebase服务账号的客户端ID已正确添加到Google Workspace的域范围委派列表，且状态为已授权。
• 检查GOOGLE_WORKSPACE_DOMAIN变量对应的Workspace域名是否拼写正确。

内容的提问来源于stack exchange，提问作者Gleko