使用Google Admin SDK API添加用户至Google Workspace组遇403权限错误求助

核心问题分析 #

你遇到的403错误，本质是服务账号没有获得操作Google Workspace群组的有效权限——服务账号本身不具备Workspace资源的访问权限，必须通过域范围委派+模拟Workspace管理员账号的组合方式，才能获得合法操作权限。

具体修复步骤 #

1. 补充域范围委派的权限范围 #

你已配置全域委派，但需添加对应API的权限范围：

• 登录Google Workspace管理控制台，进入安全 > API控制 > 域范围委派
• 找到你的服务账号，点击编辑，添加以下权限范围（二选一即可）：
  • https://www.googleapis.com/auth/admin.directory.group.member（仅成员管理权限，最小权限原则）
  • https://www.googleapis.com/auth/admin.directory.group（群组全权限）
• 保存更改，等待5-10分钟让权限同步生效

2. 修改脚本，添加管理员账号模拟逻辑 #

服务账号必须模拟一个拥有群组管理权限的Workspace管理员账号（比如你的Workspace超级管理员邮箱），修改后的完整脚本如下：

from google.oauth2 import service_account
from googleapiclient.discovery import build

# 替换为你的实际参数
SERVICE_ACCOUNT_FILE = 'service_account_credentials.json'
ADMIN_EMAIL = 'admin@example.com'  # 你的Workspace管理员邮箱
GROUP_EMAIL = 'testgroup@example.com'
USER_EMAIL = 'user2@example.com'

# 构建带权限范围的凭证
credentials = service_account.Credentials.from_service_account_file(
    SERVICE_ACCOUNT_FILE,
    scopes=['https://www.googleapis.com/auth/admin.directory.group.member']
)
# 关键：添加管理员账号模拟
delegated_credentials = credentials.with_subject(ADMIN_EMAIL)

# 构建服务客户端并执行操作
service = build('admin', 'directory_v1', credentials=delegated_credentials)
service.members().insert(
    groupKey=GROUP_EMAIL,
    body={'email': USER_EMAIL}
).execute()

3. 验证管理员账号权限 #

确保你用来模拟的ADMIN_EMAIL账号满足：

• 被分配了群组管理员或超级管理员角色（在Workspace管理控制台的角色权限中配置）
• 能手动添加用户到目标群组（排除账号本身权限不足的问题）

4. 额外排查点 #

• 确认服务账号JSON凭证文件路径正确、文件未损坏
• 重新检查Cloud Console项目中Admin SDK API已启用
• 若仍报错，尝试更换另一个Workspace管理员账号进行模拟

内容的提问来源于stack exchange，提问作者Hadi Khan