使用ServiceAccount调用Google Workspace列示用户时遭遇403错误求助

你的问题核心是ServiceAccount未正确模拟域管理员用户，结合以下遗漏配置逐一排查：

1. 必须为ServiceAccount指定模拟的域管理员账号 #

ServiceAccount本身无法直接访问Google Workspace数据，必须通过模拟一个拥有Admin Directory权限的域管理员用户才能操作。你的代码缺少这一关键步骤，导致请求权限不足。

代码修改示例： #

在获取Credentials后添加模拟用户配置：

creds, err := google.CredentialsFromJSON(ctx, []byte(s.GoogleApiToken),
    admin.AdminDirectoryUserScope,
    admin.AdminDirectoryGroupScope,
    admin.AdminDirectoryUserschemaScope,
    admin.AdminDirectoryGroupMemberScope,
    admin.AdminDirectoryDomainScope,
    admin.AdminDirectoryCustomerScope,
)
if err != nil {
    return fmt.Errorf("Unable to parse client secret file to config: %v", err)
}
// 关键：替换为你的域管理员邮箱（如admin@yourcompany.com）
creds = creds.WithSubject("admin@yourdomain.com")

或在创建Service时直接指定：

service, err := admin.NewService(ctx, 
    option.WithCredentials(creds),
    option.WithImpersonatedUser("admin@yourdomain.com"), // 模拟目标管理员用户
)

2. 验证域范围委派的Scope完全匹配 #

登录Google Admin控制台（admin.google.com），确认给ServiceAccount添加的域范围委派Scope与代码中使用的完全一致：

• 代码中admin.AdminDirectoryUserScope对应完整URL：https://www.googleapis.com/auth/admin.directory.user
• 检查是否存在拼写错误，或误加了只读Scope（admin.directory.user.readonly），需与代码中使用的Scope严格对应。

3. 确认模拟用户拥有足够权限 #

被模拟的域管理员用户必须满足：

• 拥有Google Workspace全域管理员角色，或至少被分配了「用户管理」权限（可在Admin控制台「角色与权限」中配置）
• 该用户能正常登录Admin控制台并查看用户列表，排除自身权限不足问题。

4. 确认Admin Directory API已启用 #

登录Google Cloud Console，检查当前项目是否启用Admin Directory API：

• 进入「API和服务」→「库」，搜索「Admin Directory API」，确保状态为「已启用」。

5. 验证CustomerID格式正确性 #

虽然你能成功获取Customer信息，但需确认CustomerID是Google分配的格式（如C0abcdefg），而非你的域名。若使用域名，需将Customer(s.CustomerID)替换为Domain("yourdomain.com")。

内容的提问来源于stack exchange，提问作者Vajura