更新Google Directory API用户别名所需权限及403报错排查

尝试在Google Directory控制台管理用户邮箱别名时遇到403权限问题。已创建管理员角色，包含读取用户和添加/移除别名两项API权限。

使用以下代码操作，超级管理员账号可正常运行，但受限账号执行插入别名时失败：

import { google } from 'googleapis'

const apiUser = 'myAPIUser@domain.com'
const targetAlias = 'myAlias@dmain.com'

const directoryAuth = new google.auth.JWT(
client_email,
undefined,
private_key,
['https://www.googleapis.com/auth/admin.directory.user','https://www.googleapis.com/auth/admin.directory.user.alias'],
apiUser
);
const service = google.admin({version: 'directory_v1', auth:directoryAuth});

// 获取当前别名——此部分正常工作
const getUserResponse = await service.users.get({
    userKey:apiUser
});
const currentAliases = getUserResponse.data.aliases


// 添加别名：返回403错误，提示"Not Authorized to access this resource/api"
await service.users.aliases.insert({
    userKey:apiUser,
    requestBody:{
        alias: targetAlias
    }
});

返回的错误信息：

code: 403,
  errors: [
    {
      message: 'Not Authorized to access this resource/api',
      domain: 'global',
      reason: 'forbidden'
    }
  ]

根据users.aliases.insert官方文档，该端点需要以下OAuth权限范围之一：

1. https://apps-apis.google.com/a/feeds/alias/
2. https://www.googleapis.com/auth/admin.directory.user
3. https://www.googleapis.com/auth/admin.directory.user.alias

疑问：是否需要检查其他API权限集以满足角色要求？

• 确认角色的应用范围：检查管理员角色是否被限制在特定组织单元（OU），如果目标用户不在该OU内会触发403。确保角色应用范围是整个域或包含目标用户的OU。
• 验证底层API权限映射：Google Admin控制台的角色权限和API权限并非完全一一对应，需确保角色包含以下具体权限：
  • Admin Directory API > Users > Manage users（对应admin.directory.user范围）
  • Admin Directory API > Users > Manage user aliases（对应admin.directory.user.alias范围）
    仅勾选"读取用户"和"添加/移除别名"可能覆盖不全，需确认底层权限是否匹配。
• 检查服务账号的域范围授权：确保服务账号已启用域范围委派，并在Admin控制台的"API控制 > 域范围委派"中添加对应的客户端ID和所需的两个OAuth范围。
• 确认目标用户的管理权限：受限账号需拥有对目标用户的管理权限，若目标用户属于受保护OU，即使角色有别名权限也会失败。
• 等待权限生效：Google Admin的权限变更可能有15-30分钟的缓存延迟，修改角色后等待一段时间再测试。

内容的提问来源于stack exchange，提问作者ninapavlich