使用Python调用Google Admin SDK API遇403权限错误求助

核心问题分析 #

你遇到的403错误本质是认证流程配置错误，结合你的场景（服务账号+域委派+Impersonation），主要问题集中在目标主体设置、权限范围配置、认证流程这几个环节。

修复步骤 #

1. 修正Impersonation的目标主体 #

Admin SDK要求调用者必须是域内管理员/超级管理员，服务账号本身无法直接访问Admin SDK，必须通过域委派模拟域内管理员用户，而非另一个服务账号。你的代码中target_principal设置为服务账号邮箱是错误的，需替换为域内管理员邮箱（如admin@exampledomain.com）。

2. 重构认证流程 #

你的认证代码存在密钥文件未加载、权限范围未正确绑定的问题，修正后的代码如下：

from google.oauth2 import service_account
from google.auth import impersonated_credentials
from googleapiclient.discovery import build

# 明确Admin SDK群组操作所需的完整权限范围（需与域委派配置完全一致）
SCOPES = [
    "https://www.googleapis.com/auth/admin.directory.group",
    "https://www.googleapis.com/auth/admin.directory.group.readonly"
]

# 加载服务账号密钥文件
source_creds = service_account.Credentials.from_service_account_file(
    "/path/to/your/service-account-key.json",  # 替换为你的密钥文件路径
    scopes=SCOPES
)

# 模拟域管理员用户生成凭证
gcp_credentials = impersonated_credentials.Credentials(
    source_credentials=source_creds,
    target_principal="admin@exampledomain.com",  # 替换为域管理员邮箱
    target_scopes=SCOPES,
    lifetime=3600
)

3. 验证域范围委派配置 #

登录Google Admin控制台，进入「安全性」>「API控制」>「域范围委派」：

• 找到你的服务账号，确认已添加的权限范围与代码中SCOPES的完整URL完全一致
• 确保没有遗漏或拼写错误，权限范围必须是完整的HTTP URL格式

4. 简化服务构建逻辑 #

移除未使用的Drive服务构建，直接构建Admin SDK服务：

# 构建Admin SDK Directory服务
admin_service = build("admin", "directory_v1", credentials=gcp_credentials)

# 获取指定域名下的群组列表
domain = "exampledomain.com"
groups = admin_service.groups().list(domain=domain).execute()

# 遍历输出群组信息
if "groups" in groups:
    for group in groups["groups"]:
        print(f"ID: {group['id']} | 名称: {group['name']} | 邮箱: {group['email']}")
else:
    print("未找到任何群组")

常见错误排查 #

• 提示「Request had insufficient authentication scopes」：
  • 检查代码中SCOPES与域委派配置的范围是否完全匹配
  • 清除本地可能存在的凭证缓存（若使用pickle存储过凭证）
• 仍提示「Not Authorized to access this resource/api」：
  • 确认模拟的目标用户是域内超级管理员或拥有「群组管理员」角色的用户
  • 域委派配置后可能需要1-5分钟同步，等待后重试

内容的提问来源于stack exchange，提问作者UnoDosTres