Java获取Google组成员及Google Cloud服务凭证配置咨询

1. 是否需要额外的服务账号JSON文件？ #

不需要。你现有的BigQuery服务账号JSON可以复用，前提是完成两个关键操作：

• 在Google Cloud控制台中，为该服务账号启用Admin SDK Directory API；
• 在Google Workspace管理后台，为该服务账号配置域范围授权（Domain-Wide Delegation），并授予它访问Google组所需的权限（比如admin.directory.group.member.readonly权限，或直接分配Groups Reader角色）。

2. 获取Google组成员列表的Java代码示例 #

首先在Maven项目的pom.xml中添加Admin SDK客户端依赖：

<dependency>
    <groupId>com.google.apis</groupId>
    <artifactId>google-api-services-admin-directory</artifactId>
    <version>directory_v1-rev20240209-2.0.0</version>
</dependency>
<dependency>
    <groupId>com.google.oauth-client</groupId>
    <artifactId>google-oauth-client-jetty</artifactId>
    <version>1.34.1</version>
</dependency>
<dependency>
    <groupId>com.google.auth</groupId>
    <artifactId>google-auth-library-oauth2-http</artifactId>
    <version>1.20.0</version>
</dependency>

然后编写核心代码，通过服务账号域范围授权获取组成员：

import com.google.api.client.googleapis.javanet.GoogleNetHttpTransport;
import com.google.api.client.json.gson.GsonFactory;
import com.google.api.services.admin.directory.Directory;
import com.google.api.services.admin.directory.DirectoryScopes;
import com.google.api.services.admin.directory.model.Member;
import com.google.api.services.admin.directory.model.Members;
import com.google.auth.http.HttpCredentialsAdapter;
import com.google.auth.oauth2.GoogleCredentials;
import com.google.auth.oauth2.ServiceAccountCredentials;

import java.io.FileInputStream;
import java.util.Collections;

public class GroupMemberFetcher {
    private static final String SERVICE_ACCOUNT_KEY_PATH = "/path/to/your/existing-service-account.json";
    private static final String IMPERSONATED_USER_EMAIL = "admin@your-domain.com"; // 需是Workspace域内有组访问权限的账号
    private static final String GROUP_EMAIL = "your-group@your-domain.com";

    public static void main(String[] args) throws Exception {
        // 加载服务账号凭证
        GoogleCredentials credentials = ServiceAccountCredentials.fromStream(new FileInputStream(SERVICE_ACCOUNT_KEY_PATH))
                .createScoped(Collections.singleton(DirectoryScopes.ADMIN_DIRECTORY_GROUP_MEMBER_READONLY))
                .createDelegated(IMPERSONATED_USER_EMAIL);

        // 初始化Directory服务
        Directory directoryService = new Directory.Builder(
                GoogleNetHttpTransport.newTrustedTransport(),
                GsonFactory.getDefaultInstance(),
                new HttpCredentialsAdapter(credentials))
                .setApplicationName("Your-App-Name")
                .build();

        // 获取组成员列表
        Members members = directoryService.members().list(GROUP_EMAIL).execute();
        if (members.getMembers() != null) {
            for (Member member : members.getMembers()) {
                System.out.printf("成员邮箱: %s, 类型: %s%n", member.getEmail(), member.getType());
            }
        } else {
            System.out.println("该组无成员");
        }
    }
}

注意：IMPERSONATED_USER_EMAIL必须是你的Google Workspace域内拥有组读取权限的账号（比如域管理员），且服务账号已在Workspace后台配置了对应的授权范围。

3. 访问Drive、Gmail等是否需要独立凭证？ #

不需要。同一个服务账号JSON文件可以用于访问多个Google服务，只需满足两个条件：

• 在Google Cloud控制台中启用对应服务的API（比如Drive API、Gmail API）；
• 为该服务账号授予对应服务所需的权限（比如Drive的编辑权限、Gmail的只读权限等），并根据服务要求配置域范围授权（如果是访问Workspace域内资源的话）。

在代码中，只需针对不同服务初始化对应的客户端实例即可，无需更换凭证文件。

内容的提问来源于stack exchange，提问作者multiverse