Google Drive API服务账号操作TeamDrive遇403权限不足问题求助

核心原因 #

服务账号的API权限范围（https://www.googleapis.com/auth/drive）只是API层面的授权，而Shared Drive属于Google Workspace域级资源，需要额外的Workspace管理员权限配置——即使服务账号拥有文件的Owner角色，也无法绕过这个域级权限限制。

具体解决步骤 #

• 启用域内Shared Drive功能：登录Google Workspace管理员后台，进入「应用 > Google Workspace > 云端硬盘和文档 > 共享云端硬盘」，确认已启用共享云端硬盘功能。
• 分配服务账号创建权限：在Workspace管理员后台的「IAM与管理员 > IAM」中找到目标服务账号，添加「云端硬盘 > 共享云端硬盘创建者」角色；若需更高权限，也可直接分配「超级管理员」角色（不推荐生产环境使用）。
• 验证API调用参数：调用drives.create接口时，必须传入唯一的requestId参数（用于保证幂等性），示例请求体：

{
  "name": "My Shared Drive",
  "requestId": "unique-string-12345"
}

• 确认服务账号归属：确保服务账号是在当前Google Workspace域下创建的，跨域的独立Cloud项目服务账号无法直接创建域内Shared Drive。

额外注意事项 #

• 即便使用drive全权限范围，若服务账号没有Workspace层面的Shared Drive创建权限，依然会返回insufficientFilePermissions错误——这是因为Shared Drive的权限管控属于Workspace域政策，而非普通文件权限体系。
• 若只是操作已有的Shared Drive，需确保服务账号被添加为该Shared Drive的成员，并分配组织者、编辑者等足够角色。

内容的提问来源于stack exchange，提问作者Ben