Google Calendar API服务账号如何获取日历写入权限

权限不生效的核心是混淆了两套完全独立的谷歌权限体系：

• Google Cloud控制台给服务账号分配的owner角色，仅对应该云项目内的云资源操作权限，和Google Calendar等SaaS服务侧的访问权限完全不互通
• 手动共享日历时如果没有主动调整权限等级，默认给外部账号（服务账号属于谷歌云侧的外部服务身份）分配的就是freeBusyReader（仅闲忙信息查询）权限
• 之前写的ACL更新代码不生效的原因很明确：ACL修改操作要求调用主体本身对目标日历持有owner权限，用只有freeBusyReader权限的服务账号给自己提权属于越界操作，接口不会实际执行权限变更。

根据使用的账号类型选对应方案即可，全域委派、用户模拟不是服务账号访问日历的强制要求：

场景1：使用个人Gmail账号/非Workspace账号 #

该场景不支持全域委派（该功能仅面向Google Workspace企业租户开放），按以下步骤操作即可：

• 打开Google Calendar网页端，进入目标日历的「设置和共享」页面
• 找到「与特定人员或群组共享」板块，定位到之前添加的服务账号邮箱（格式为service@你的项目id.iam.gserviceaccount.com）
• 点开该账号对应的权限下拉菜单，选择「更改并管理共享」（对应owner级权限），保存设置
• 等待1-2分钟权限全局同步后，再调用接口查询accessRole就会显示为owner，可正常读写修改日历
• 注意：该场景下不要用服务账号身份调用ACL接口自助提权，必须用日历所有者的身份在网页端完成权限配置，或用个人账号的有效用户凭据调用ACL接口给服务账号授权。

场景2：使用企业配发的Google Workspace工作账号 #

该场景推荐用全域委派+用户模拟的方案，不需要手动共享日历，权限更稳定，也更适合Docker容器化部署：

• 进入Google Cloud控制台的服务账号详情页，找到「全域委派」配置项，勾选启用该功能，复制生成的客户端ID
• 联系企业Workspace管理员（有管理员权限可自行操作），进入Workspace管理后台的「安全-API控制-全域委派授权」页面，添加刚才复制的客户端ID，授权日历所需的权限范围即可
• 代码鉴权环节不要直接使用服务账号自身身份，需要指定模拟的目标用户（即日历实际所属的工作账号），Python鉴权参考代码：

from google.oauth2 import service_account
from googleapiclient.discovery import build

# 按需调整权限范围
SCOPES = ["https://www.googleapis.com/auth/calendar"]
# 容器内可通过挂载密钥文件、环境变量注入密钥内容的方式读取，禁止将密钥硬编码进镜像
SERVICE_ACCOUNT_KEY_PATH = "/path/in/container/service-account-key.json"
# 替换为实际的工作账号邮箱
TARGET_USER_EMAIL = "your-work-email@your-company-domain.com"

creds = service_account.Credentials.from_service_account_file(
    SERVICE_ACCOUNT_KEY_PATH, scopes=SCOPES
)
# 关键步骤：开启用户模拟
delegated_creds = creds.with_subject(TARGET_USER_EMAIL)
calendar_service = build("calendar", "v3", credentials=delegated_creds)

• 该方案下服务账号会完全继承被模拟用户的日历权限，不会出现权限等级不足的问题，部署到Docker时只需要把服务账号密钥安全挂载进容器即可，不需要持久化存储用户的refresh token，更适配无状态服务的部署要求。

个人账号场景下只要手动给服务账号分配足够的日历共享权限即可正常使用，不需要额外配置全域委派；Workspace场景下如果不想开全域委派，也可以参照个人账号的操作步骤，在网页端给服务账号分配「更改并管理共享」权限后直接使用服务账号自身身份调用接口，只是权限同步稳定性、批量管理便捷性不如用户模拟方案。

内容的提问来源于stack exchange，提问作者GlaceCelery