使用Ruby+服务账号管理Google Workspace联系人遇权限错误求助

我尝试使用Ruby脚本结合Google API Client，通过服务账号管理Google Workspace用户的联系人，代码如下：

require 'google/apis/people_v1'
require 'googleauth'
require 'byebug'

# Set up authorization
scopes = ['https://www.googleapis.com/auth/contacts', 'https://www.googleapis.com/auth/directory.readonly']
credentials = Google::Auth::ServiceAccountCredentials.make_creds(
  json_key_io: File.open('g_suite_service_account.json'),
  scope: scopes,
)

# Authorize the client
client = Google::Apis::PeopleV1::PeopleServiceService.new
client.authorization = credentials

# Fetch contacts
response = client.list_person_directory_people(
  sources: 'DIRECTORY_SOURCE_TYPE_DOMAIN_CONTACT',
  read_mask: 'addresses,clientData,emailAddresses,names,phoneNumbers'
)

byebug
puts ''

已完成操作：

• 在Google Workspace云控制台创建服务账号；
• 为该服务账号配置Google Workspace管理员的域范围委派权限。

但仍收到错误：failedPrecondition: Must be a G Suite domain user. (Google::Apis::ClientError)

请指出遗漏的步骤或问题所在，谢谢！

解决方法 #

你遗漏了服务账号模拟域内用户的关键步骤：服务账号本身不属于Google Workspace域用户，必须通过模拟域内的管理员（或具备对应权限的用户）身份，才能发起合法的API调用。

修改代码中的授权逻辑，添加sub参数指定要模拟的域内用户邮箱：

# Set up authorization
scopes = ['https://www.googleapis.com/auth/contacts', 'https://www.googleapis.com/auth/directory.readonly']
credentials = Google::Auth::ServiceAccountCredentials.make_creds(
  json_key_io: File.open('g_suite_service_account.json'),
  scope: scopes,
)
# 新增：指定要模拟的域内用户邮箱（需为Workspace管理员或拥有联系人读取权限的用户）
credentials.sub = 'admin@your-domain.com'

# Authorize the client
client = Google::Apis::PeopleV1::PeopleServiceService.new
client.authorization = credentials

同时需确认以下几点：

• 指定的模拟用户必须是Google Workspace域内的有效用户，且拥有读取域联系人的权限；
• 域范围委派配置中，已正确添加你使用的两个API scope（https://www.googleapis.com/auth/contacts和https://www.googleapis.com/auth/directory.readonly）；
• 服务账号的JSON密钥文件路径正确，文件内容无损坏。

内容的提问来源于stack exchange，提问作者syafiq faiz