使用Cloud Identity API向Google Groups添加外部用户遇403权限问题求助

问题概述 #

使用Cloud Identity API的groups.membership.create方法向Google Groups添加非Google外部邮箱时，出现403错误：Error(2028): Permission denied for resource groups/******** (or it may not exist).，但网页端可正常添加该邮箱，组织内邮箱通过API添加无异常。

已完成配置&请求细节 #

• GCP创建专用项目及服务账号，启用全域委派，配置权限范围：cloud-identity.groups、cloud-identity、cloud-identity.groups.readonly、cloud-platform
• Google Workspace管理控制台Groups for Business板块启用“群组所有者可允许外部成员”
• 群组设置：“谁可以加入群组”设为“仅受邀用户”+“任何网页用户均可申请”，启用“允许外部成员”
• API请求：以服务账号（群组所有者）身份认证，模拟群组所有者/创建者用户，preferred_member_key.EntityKey.id设为客户邮箱，roles[].MembershipRole.name设为MEMBER

解决方案 #

1. 补全服务账号的权限绑定 #

仅配置全域委派的权限范围不足以完成外部成员添加操作，需在Google Workspace管理控制台：

• 给服务账号直接分配Groups Admin或Groups Editor角色；
• 或针对目标群组，确认服务账号已被添加为群组所有者/管理者（需在群组成员列表中可见，角色为Owner/Manager）。

2. 修正EntityKey的请求格式 #

对于非Google外部邮箱，EntityKey必须指定namespace为users，完整请求体示例：

{
  "preferred_member_key": {
    "id": "external-user@example.com",
    "namespace": "users"
  },
  "roles": [
    {
      "name": "MEMBER"
    }
  ]
}

未指定namespace会导致API无法识别外部用户身份类型，触发权限校验失败。

3. 调整群组的外部邀请权限 #

在群组设置中，确保“谁可以邀请外部成员”设置为群组所有者和管理者，该权限未开启会导致API调用被拦截，即使服务账号是所有者身份。

4. 验证模拟用户的角色权限 #

确认被服务账号模拟的用户是目标群组的所有者（而非仅管理者），部分场景下管理者权限无法通过API完成外部成员添加操作，必须使用所有者级别权限。

5. 确认API请求的群组ID正确性 #

确保请求的parent参数为正确的群组ID（格式为groups/{group-id}），可通过groups.list接口获取目标群组的完整ID，避免使用群组别名或邮箱地址导致资源识别错误。

内容的提问来源于stack exchange，提问作者benjibo