Google Directory UpdateUser调用失败：服务账号+全域委派+用户模拟排查

问题背景 #

使用Google.Apis.Admin.Directory.directory_v1时，通过服务账号+全域委派+用户模拟方案，读取用户功能正常，但调用UpdateUser接口失败，已排除配置传播延迟（等待1天）。

复现代码 #

[Fact]
public async Task TestReadAndWriteRawGoogleLibrary()
{
    var jsonCreds = File.ReadAllText("./../../../../key.json");
    var impersonatedUserEmail = "xxx"; //隐私隐藏
    var credential = GoogleCredential.FromJson(jsonCreds)
           .CreateScoped(DirectoryService.Scope.AdminDirectoryUser)
           .CreateWithUser(impersonatedUserEmail);
    var service = new DirectoryService(new BaseClientService.Initializer()
    {
        HttpClientInitializer = credential,
        ApplicationName = "test",
    });
    var request = service.Users.Get("this_is@confidential.com");
    request.Projection = UsersResource.GetRequest.ProjectionEnum.Full;
    var u = await request.ExecuteAsync(); 
    Assert.Equal("XXX", u.Name.FamilyName); //读取正常

    await service.Users.Update(u, u.Id).ExecuteAsync(); //更新失败
}

错误信息 #

Message: 
Google.GoogleApiException : The service admin has thrown an exception. HttpStatusCode is Forbidden. Not Authorized to access this resource/api

Stack Trace: 
ClientServiceRequest`1.ParseResponse(HttpResponseMessage response)
ClientServiceRequest`1.ExecuteAsync(CancellationToken cancellationToken)
ClientServiceRequest`1.ExecuteAsync()
DirectoryServiceClientTests.TestReadAndWriteRawGoogleLibrary() line 75
--- End of stack trace from previous location ---

已配置权限 #

• key.json为有效服务账号凭据文件
• 服务账号已配置全域委派
• 被模拟用户拥有「Api access」角色
• 「Api access」角色已分配更新用户权限

可能原因及解决步骤 #

1. 权限范围（Scope）不完整 #

读取用户仅需只读权限，但更新用户需要明确的读写权限范围。当前代码使用的DirectoryService.Scope.AdminDirectoryUser是复合范围，需确认是否覆盖读写权限，或直接指定明确范围：

var credential = GoogleCredential.FromJson(jsonCreds)
       .CreateScoped(new[] { 
           DirectoryService.Scope.AdminDirectoryUser
       })
       .CreateWithUser(impersonatedUserEmail);

注意：需在Google Admin控制台的全域委派配置中，已添加该权限范围，否则代码指定无效。

2. 被模拟用户实际权限不足 #

即使「Api access」角色配置了更新权限，仍需确认：

• 该角色是否包含admin.directory.user.update具体权限（而非仅描述性的“更新用户”）
• 被模拟用户是否为域管理员或拥有足够用户管理权限：部分核心用户属性修改需要更高权限，普通角色无法覆盖。可临时使用域管理员账号模拟测试，验证是否为权限问题。

3. 更新请求包含不可修改字段 #

通过Users.Get获取的完整用户对象（ProjectionEnum.Full）包含Google API不允许修改的字段（如Id、CreatedTime等），直接传入Update接口会触发拒绝。

解决方法：创建仅包含需更新字段的新对象，而非复用查询结果：

// 仅保留需要更新的字段
var updateUser = new User()
{
    Name = new UserName()
    {
        FamilyName = "新姓氏", // 示例：修改姓氏
        GivenName = u.Name.GivenName
    },
    // 添加其他允许修改的字段，如邮箱、手机号等
};

await service.Users.Update(updateUser, u.Id).ExecuteAsync();

4. 全域委派配置未关联权限范围 #

登录Google Admin控制台，检查服务账号全域委派设置：

• 确认已添加所需权限范围（如https://www.googleapis.com/auth/admin.directory.user）
• 确认域管理员已批准该权限范围的委派请求

5. Admin SDK API未启用 #

进入Google Cloud控制台，检查「API和服务」→「已启用的API和服务」，确认「Admin SDK」处于启用状态。

内容的提问来源于stack exchange，提问作者Christophe Blin