如何为Google服务账户授予共享云端硬盘访问权限及报错排查

核心问题定位 #

你遇到的404错误本质是服务账户无法识别目标共享云端硬盘/父文件夹，此前尝试的模拟用户、全域委派、加入群组等操作未触及共享云端硬盘的核心权限配置逻辑。

正确权限配置与代码修正步骤 #

1. 直接共享云端硬盘给服务账户（关键步骤） #

共享云端硬盘的权限独立于项目IAM控制台，需直接绑定到服务账户：

• 打开目标共享云端硬盘，点击右上角「共享」
• 输入服务账户完整邮箱（格式：[账户ID]@[项目ID].iam.gserviceaccount.com）
• 分配「内容管理者」或「编辑者」权限（仅查看者权限无法创建文件夹）

2. 修正身份验证逻辑（若需模拟Workspace用户） #

此前代码未实现用户模拟，正确的认证代码需添加subject参数：

def authenticate_google_drive():
    creds = Credentials.from_service_account_file(
        "config/service-credentials.json", 
        scopes=["https://www.googleapis.com/auth/drive", "https://www.googleapis.com/auth/drive.file"]
    )
    # 替换为有权访问共享云端硬盘的Workspace用户邮箱
    creds = creds.with_subject("授权用户@你的域名.com")
    service = build("drive", "v3", credentials=creds)
    return service

• 前提：服务账户已在Workspace管理控制台开启全域委派，并授权了对应的Drive权限范围

3. 验证父文件夹ID格式 #

• 若父文件夹是共享云端硬盘根目录，ID格式必须为drive-[云端硬盘ID]，而非普通文件夹ID
• 可通过调用service.drives().get(driveId="云端硬盘ID").execute()获取根目录信息，确认ID正确性

4. 确认API调用参数有效性 #

你的创建文件夹代码已正确添加supportsAllDrives=True，需额外确保：

• 传入的parent_folder_id确实属于目标共享云端硬盘
• 权限变更后需等待1-2分钟生效，避免立即调用API导致权限未同步

常见坑点排查 #

• 不要依赖群组共享：服务账户加入群组后，共享云端硬盘的群组权限可能延迟生效，直接共享给服务账户更可靠
• 项目IAM控制台权限与共享云端硬盘权限是两套体系，前者无法控制共享云端硬盘的访问权限
• 确保服务账户密钥文件未过期、未被撤销权限

内容的提问来源于stack exchange，提问作者Rafael Cenzano