单管理员令牌Service Account访问GSuite域用户Drive的配置问题

你当前的调用逻辑不符合Google Workspace API的权限规则，不存在用单个管理员令牌直接拉取全组织用户Drive数据的可配置项，拿管理员身份的token查询其他用户Drive文件返回空是符合预期的结果。

• 开启全域委派（Domain-wide Delegation, DWD）的Service Account，核心能力是模拟域内单个具体用户的身份调用Google服务，兑换得到的access token的权限边界，完全等同于JWT中sub字段指定的用户本身的权限，不会自动获得跨用户访问数据的能力。
• 你之前拉取域用户列表成功，是因为sub=admin@mydomain.com对应的管理员账号本身就具备Directory API的全量用户读取权限，操作完全匹配权限逻辑。
• 你调用Drive API时用的是管理员身份的token，这个接口默认只会返回当前token所属账号有权访问的文件。你加的'user1@mydomain.com' in owners查询条件，本质是在管理员自己的Drive资源范围内搜索所有者为user1的文件——正常场景下其他用户的个人Drive文件不会出现在管理员的可访问资源列表里，自然返回空结果。

• 你必须为每个目标用户单独生成sub=对应用户邮箱的JWT，兑换为对应用户身份的access token后，再调用https://www.googleapis.com/drive/v3/files接口拉取文件。此时接口默认返回的就是当前token对应用户作为所有者的全量Drive文件，不需要额外加owner相关的查询参数。
• 不需要为每个用户单独做授权操作，只要DWD配置正确，Service Account可以直接模拟域内任意在允许范围内的用户，无需用户手动确认授权。

• 确认DWD配置中已经为该Service Account添加了Drive API对应的权限scope：仅读取文件需要添加https://www.googleapis.com/auth/drive.readonly，如果需要修改/写入文件则添加https://www.googleapis.com/auth/drive。你之前能正常调用Directory API仅代表配置了Directory的相关scope，不代表已经开通Drive的访问权限。
• 确认DWD规则没有限制模拟范围：部分企业会配置DWD的范围约束，仅允许Service Account模拟特定OU、特定用户组内的账号，需要确认你要拉取数据的所有用户都在允许模拟的范围内。
• 确认域内没有开启Drive的第三方访问限制：比如禁止通过DWD方式访问用户Drive数据的全局管控策略。

内容的提问来源于stack exchange，提问作者Manu