PowerShell实现GDrive模拟时遇404错误：Gaia ID未找到

错误原因 #

你遇到的404 Gaia id not found错误核心原因是：Google服务账号无法直接模拟另一个服务账号。ImpersonatedCredential的设计用途是让服务账号模拟Google Workspace（原G Suite）域内的普通用户账号，而非其他服务账号。同时你的脚本中存在冗余操作：调用CreateWithUser($client_email)让服务账号模拟自身，这一步完全没有意义。

修正方案 #

根据你的需求，分两种场景给出修正后的脚本：

场景1：模拟Google Workspace域内普通用户 #

如果你确实需要模拟域内的普通用户（而非服务账号），调整脚本如下：

function Get-GoogleDriveService
{
    Param (
        [Parameter(Mandatory=$true)]
        [string] $json_file,
        [Parameter(Mandatory=$false)]
        [string[]] $scopes = @(
            "https://www.googleapis.com/auth/drive.metadata.readonly",
            "https://www.googleapis.com/auth/drive",
            "https://www.googleapis.com/auth/drive.file",
            "https://www.googleapis.com/auth/drive.appdata",
            "https://www.googleapis.com/auth/iam"
        ),
        [Parameter(Mandatory=$true)]
        [string] $impersonateUserEmail # 传入域内普通用户邮箱，而非服务账号邮箱
    )

    # 加载服务账号凭证
    $gcred = [Google.Apis.auth.Oauth2.GoogleCredential]::FromFile($json_file)

    # 绑定所需权限范围
    $gcred_scoped = $gcred.CreateScoped($scopes)

    # 初始化模拟配置（目标为域内普通用户）
    $impersonationInitializer = New-Object Google.Apis.auth.Oauth2.ImpersonatedCredential+Initializer($impersonateUserEmail)
    $gcred_impersonate = $gcred_scoped.Impersonate($impersonationInitializer)

    # 创建Drive服务实例
    $initializer = New-Object Google.Apis.Services.BaseClientService+Initializer
    $initializer.HttpClientInitializer = $gcred_impersonate
    $service = New-Object Google.Apis.Drive.v3.DriveService($initializer)

    return $service
}

场景2：直接使用目标服务账号的权限 #

如果你的需求是使用svc-gsuite-auto@mycompany.org这个服务账号的权限，无需模拟，直接使用该服务账号的JSON密钥文件即可：

function Get-GoogleDriveService
{
    Param (
        [Parameter(Mandatory=$true)]
        [string] $targetServiceAccountJsonFile, # 传入目标服务账号的JSON密钥文件路径
        [Parameter(Mandatory=$false)]
        [string[]] $scopes = @(
            "https://www.googleapis.com/auth/drive.metadata.readonly",
            "https://www.googleapis.com/auth/drive",
            "https://www.googleapis.com/auth/drive.file",
            "https://www.googleapis.com/auth/drive.appdata",
            "https://www.googleapis.com/auth/iam"
        )
    )

    # 直接加载目标服务账号的凭证
    $gcred = [Google.Apis.auth.Oauth2.GoogleCredential]::FromFile($targetServiceAccountJsonFile)
    $gcred_scoped = $gcred.CreateScoped($scopes)

    # 创建Drive服务实例
    $initializer = New-Object Google.Apis.Services.BaseClientService+Initializer
    $initializer.HttpClientInitializer = $gcred_scoped
    $service = New-Object Google.Apis.Drive.v3.DriveService($initializer)

    return $service
}

关键注意事项 #

• 若使用场景1的模拟功能，需在Google Workspace管理后台完成配置：
  1. 找到你的原服务账号，开启域宽限授权。
  2. 在API权限中添加脚本中使用的所有Scopes。
• 确认目标邮箱属于当前Google Workspace域，且账号状态正常，无拼写错误。
• 服务账号之间无法通过模拟实现权限转移，只能直接使用对应服务账号的密钥文件。

内容的提问来源于stack exchange，提问作者Brad Wahlen