使用服务账户调用Google Meet API创建Space遇权限拒绝错误求助

算力阿峰

2026-6-23

解决服务账户创建Google Meet空间时的PERMISSION_DENIED错误

核心原因

Google Meet Spaces API不支持服务账户直接发起请求，必须通过域范围委派模拟域内真实用户身份执行操作，这是触发权限拒绝错误的关键。

修复方案

1. 授权逻辑添加用户模拟

修改Node.js的authorize方法，在GoogleAuth配置中加入subject参数，指定你要模拟的域内有效用户邮箱（必须属于你的Google Workspace域）：

async authorize() {
  const client = new GoogleAuth({
    scopes: this.SCOPES,
    keyFile: this.CREDENTIALS_PATH,
    // 替换为你的域内用户邮箱
    subject: 'user@your-domain.com'
  }); 
  return client;
}

2. 验证域范围委派配置

登录Google Workspace Admin Console，确认服务账户的客户端ID已添加域范围委派，且包含你使用的两个权限范围：https://www.googleapis.com/auth/meetings.space.created和https://www.googleapis.com/auth/meetings.space.readonly
确保域管理员已为该服务账户授予Meet Spaces API的访问权限

3. 确认模拟用户权限

你指定的模拟用户必须拥有创建Google Meet会议的权限，部分域可能限制普通用户创建会议，可先手动用该账号创建Meet测试。

4. .NET Core环境适配

在.NET Core中实现时，同样需要在服务账户认证时添加用户模拟（对应ServiceAccountCredential的User属性），示例逻辑如下：

var credential = new ServiceAccountCredential(
    new ServiceAccountCredential.Initializer(serviceAccountEmail)
    {
        Scopes = new[] { "https://www.googleapis.com/auth/meetings.space.created" },
        // 模拟的域用户邮箱
        User = "user@your-domain.com" 
    }.FromPrivateKey(privateKey));