如何解决Google Cloud服务账号删除Google Workspace文件权限被拒问题

核心原因 #

服务账号默认不属于你的Google Workspace域，GCP的Editor权限和Google Drive的资源权限是完全独立的体系——即便有GCP层面的编辑权限，也无法直接访问或操作Workspace中的Drive文件。

具体解决步骤 #

1. 给服务账号开域范围授权（Domain-Wide Delegation） #

这是服务账号能操作Workspace资源的前提：

• 登录Google Workspace管理控制台，进入安全 > API控制 > 域范围委派
• 点击添加新客户端，输入服务账号的客户端ID（可在GCP控制台的IAM > 对应服务账号详情页找到）
• 在OAuth范围里添加Drive API的必要权限，至少包含：
  • https://www.googleapis.com/auth/drive（测试用全权限；生产环境建议用更细粒度的https://www.googleapis.com/auth/drive.delete）
• 保存后等待15-30分钟让权限生效

2. 给服务账号分配目标文件/文件夹的权限 #

就算开了域范围授权，服务账号仍需对要删除的资源有对应权限：

• 用拥有该文件权限的Workspace普通用户，在Drive里找到目标文件/文件夹，右键分享
• 输入服务账号邮箱xxxxxx@myproject-monitoring.iam.gserviceaccount.com，授予编辑或所有者权限（删除操作至少需要编辑权限）
• 确认共享设置生效

3. 脚本中模拟Workspace用户身份 #

服务账号不能直接用自身身份访问Drive资源，必须模拟域内用户操作：

• 以Python的google-api-python-client为例，代码片段如下：

from google.oauth2 import service_account
from googleapiclient.discovery import build

# 配置参数
SCOPES = ['https://www.googleapis.com/auth/drive.delete']
SERVICE_ACCOUNT_KEY_PATH = 'path/to/your/service-account-key.json'
# 要模拟的域内用户（需对目标文件有删除权限）
IMPERSONATE_USER = 'user@your-workspace-domain.com'

# 生成带委派身份的凭证
credentials = service_account.Credentials.from_service_account_file(
    SERVICE_ACCOUNT_KEY_PATH, scopes=SCOPES)
delegated_creds = credentials.with_subject(IMPERSONATE_USER)

# 初始化Drive服务
drive_service = build('drive', 'v3', credentials=delegated_creds)

# 执行删除操作
target_file_id = 'your-target-file-id'
drive_service.files().delete(fileId=target_file_id).execute()

4. 确认Drive API已正确启用 #

检查你的GCP项目myproject-monitoring中，Google Drive API确实处于启用状态：

• 登录GCP控制台，进入API和服务 > 已启用的API和服务
• 搜索并确认Google Drive API是启用状态，未启用则点击启用

5. 排查权限冲突 #

• 检查GCP IAM中，服务账号是否被**拒绝策略（Deny Policy）**限制了Drive相关权限
• 查看Workspace的Drive共享设置，是否禁止了外部用户访问（服务账号默认属于外部，需通过域范围授权关联到域）

内容的提问来源于stack exchange，提问作者user22809323