迁移至Google Identity Services库：GCP中无法找到应用ID/客户端ID

可能的来源 #

• 离职员工遗留的未归档/未删除项目：员工离职后，其创建的Google Cloud项目若未被清理，项目关联的客户端ID仍会绑定你的Workspace域名，触发迁移通知。
• 第三方应用授权：员工曾授权过的外部应用，其客户端ID也会出现在Google Identity Services的相关通知中。
• 被遗忘的测试/临时项目：员工创建的临时测试项目可能未被纳入常规管理范围，导致搜索不到。

具体排查步骤 #

1. 通过Workspace Admin Console的OAuth应用报告查询
   登录Admin Console，进入安全 > API控件 > 已授权的应用 > 查看全部，直接在搜索框输入陌生客户端ID，可筛选出该ID关联的应用信息，包括创建者、授权范围、关联用户等——这里能覆盖所有通过OAuth 2.0授权访问Workspace数据的应用，无论内部创建还是第三方应用。

2. 搜索所有Google Cloud项目（含归档项目）
   登录Google Cloud Console，点击顶部项目选择器选择所有项目，切换到已归档标签页搜索客户端ID。已归档项目不会出现在常规项目列表中，但凭据依然存在，很多遗留项目都藏在这里。找到对应项目后，可查看项目所有者信息确认是否为离职员工创建。

3. 检查用户级OAuth令牌记录
   在Admin Console进入安全 > API控件 > OAuth令牌，搜索目标客户端ID，查看哪些用户曾授权过该应用，通过用户信息反向追溯应用的创建或使用场景。

4. 用Cloud Asset Inventory做全局查询
   在Cloud Console打开Cloud Asset Inventory，运行以下查询语句：

   RESOURCE_TYPE: "google.api.serviceusage.v1.Service" AND NAME: "oauth2.googleapis.com"
   

   该查询可关联到客户端ID对应的项目，哪怕是员工用个人账号创建但绑定了Workspace域名的项目，也能找到线索。

5. 联系Google Workspace官方支持
   如果以上方法都无法定位，直接通过Admin Console的支持通道提交工单，提供陌生客户端ID，Google支持团队可协助查询该ID的归属项目、创建时间及创建者信息。

后续预防建议 #

• 离职员工账号注销前，强制清理其拥有的Cloud项目权限，归档或删除无人维护的项目。
• 开启Cloud项目创建权限限制，仅允许指定团队创建项目，避免无管控的应用创建。
• 每季度审计OAuth授权应用列表，移除未使用的第三方应用授权。

内容的提问来源于stack exchange，提问作者Orderly Admin