通过API在其他Google Workspace账户创建会议室资源事件遇权限问题

问题背景 #

我们的服务对接客户Google Workspace后，已获取以下权限范围：

https://www.googleapis.com/auth/calendar 
https://www.googleapis.com/auth/calendar.settings.readonly 
https://www.googleapis.com/auth/admin.directory.resource.calendar 
https://www.googleapis.com/auth/calendar.events 
https://www.googleapis.com/auth/admin.directory.user.readonly

通过https://www.googleapis.com/calendar/v3/calendars/calenderId/events端点给普通用户日历添加事件完全正常，但尝试给格式如c_asdasdasdasdicrql2isb1ocs@resource.calendar.google.com的会议室资源日历创建事件时，返回错误：

GaxiosError: You need to have writer access to this calendar

查阅API文档未找到资源日历专属权限范围，临时方案是将我方服务账户客户端ID加入客户第三方可信应用，但破坏了一键对接的便捷性，手动操作易出错。

可行解决方案 #

1. 通过Admin SDK自动授权服务账户访问资源日历 #

利用已获取的admin.directory.resource.calendar权限，调用Admin SDK的资源日历ACL接口，在对接流程中自动给服务账户添加资源日历的写入权限，无需客户手动操作：

const { google } = require('googleapis');
const admin = google.admin({ version: 'directory_v1' });

// 为指定资源日历授予服务账户写入权限
async function grantResourceCalendarWriteAccess(resourceCalendarId, serviceAccountEmail) {
  try {
    await admin.resources.calendars.acl.insert({
      calendarResourceId: resourceCalendarId,
      requestBody: {
        role: 'writer',
        scope: {
          type: 'user',
          value: serviceAccountEmail
        }
      },
      auth: // 已完成域范围委派的Admin SDK认证客户端
    });
  } catch (err) {
    console.error('授权失败:', err);
    throw err;
  }
}

关键前提：需确保服务账户已在客户Google Workspace管理控制台中启用域范围委派，并授权admin.directory.resource.calendar权限，这一步可以在一键对接流程中引导客户管理员完成，比手动添加可信应用更高效。

2. 基于用户模拟调用Calendar API #

如果服务账户已配置域范围委派，可以模拟客户侧有权预订该资源日历的用户（比如会议室管理员或普通授权用户）身份调用Calendar API创建事件，此时会继承该用户的资源日历访问权限，避免服务账户直接被拒绝：

const { google } = require('googleapis');
const calendar = google.calendar({ version: 'v3' });

// 模拟用户身份创建资源日历事件
async function createResourceEvent(impersonateUserEmail, resourceCalendarId, eventData) {
  const auth = new google.auth.JWT(
    process.env.SERVICE_ACCOUNT_EMAIL,
    null,
    process.env.SERVICE_ACCOUNT_KEY,
    ['https://www.googleapis.com/auth/calendar.events'],
    impersonateUserEmail // 模拟的用户邮箱
  );

  await calendar.events.insert({
    calendarId: resourceCalendarId,
    requestBody: eventData,
    auth: auth
  });
}

注意：需确保模拟的用户确实拥有该资源日历的写入权限，可通过admin.directory.resource.calendar权限提前验证用户的资源访问权限。

3. 批量配置资源日历默认共享规则 #

如果客户有大量资源日历，可通过Admin SDK批量更新资源日历的默认共享设置，将服务账户所在的组（或服务账户本身）添加为默认写入权限主体，这样后续新增的资源日历也会自动继承该权限，无需逐个授权。

内容的提问来源于stack exchange，提问作者Ludvig