Cloud Composer 2.0环境下如何添加/修改Google OAuth范围以访问Google Drive

集群层面修改OAuth范围的限制 #

Cloud Composer 2.0是全托管的Airflow服务，底层GKE Autopilot集群的节点池、OAuth范围配置均由Google Cloud托管维护，用户无法通过Composer UI、gcloud命令行直接修改集群级OAuth范围，手动调整底层GKE集群的配置也会被Composer的托管同步逻辑覆盖，无法长期生效。

可行的落地解决方案 #

不需要修改集群层面的OAuth配置，通过以下两种方案即可实现Google Drive访问需求：

• 方案1：服务账号直接授权
  直接在目标Google Drive文件/文件夹的共享设置中，添加Composer环境的工作负载服务账号邮箱（可在Composer环境详情页的「环境配置」tab找到），授予对应读写权限即可，无需额外配置OAuth范围，服务账号默认可调用有权限的Google Cloud API。
• 方案2：全域权限委派（仅适用于Google Workspace内部资源访问）
  若需要批量访问企业WorkSpace内的所有Drive资源，可在Google Workspace后台为Composer工作负载服务账号开通全域权限委派，配置时指定Google Drive对应的OAuth范围，无需修改集群配置即可生效。

Python Operator单独指定OAuth范围的轻量化方案 #

该方案无需修改环境全局配置，符合最小权限原则，是最推荐的实现方式：

1. 确认使用的服务账号已获得目标Drive资源的访问权限
2. 在Python Operator的执行代码中直接构造带指定OAuth范围的凭证，示例代码如下：

# 方式1：使用默认工作负载凭证指定范围，无需管理密钥
import google.auth
from googleapiclient.discovery import build

# 可根据实际需求替换为需要的OAuth范围
SCOPES = ["https://www.googleapis.com/auth/drive"]
credentials, project_id = google.auth.default(scopes=SCOPES)

# 调用Drive API读取表格示例
drive_service = build("drive", "v3", credentials=credentials)

# 方式2：使用单独的服务账号密钥文件（密钥可存储在Secret Manager中避免明文泄露）
from google.oauth2 import service_account
from googleapiclient.discovery import build

SCOPES = ["https://www.googleapis.com/auth/drive"]
# 密钥路径可替换为Secret Manager的拉取路径
SERVICE_ACCOUNT_KEY_PATH = "/path/to/service_account.json"

credentials = service_account.Credentials.from_service_account_file(
    SERVICE_ACCOUNT_KEY_PATH, scopes=SCOPES
)
drive_service = build("drive", "v3", credentials=credentials)

内容的提问来源于stack exchange，提问作者Ron Scott