PHP+CodeIgniter3环境下，如何授权服务账号使用Google Admin SDK的成员管理API？

你遇到的403错误核心原因是：Google服务账号本身没有访问Google Workspace域内资源的权限，必须通过「域范围权限委派」让它模拟你域内的管理员账号，才能调用Admin SDK的成员管理接口。我来一步步帮你解决：

一、先在Google Workspace后台配置域范围委派 #

这是最容易被忽略的关键步骤：

1. 用你的Google Workspace超级管理员账号登录Google Workspace管理控制台
2. 依次进入「安全」→「API控制」→「域范围委派」
3. 点击「添加新的客户端」
4. 输入你服务账号的客户端ID（对应你google.php配置里的client_id字段）
5. 在「OAuth 2.0 作用域」输入框中填入需要的权限：

   https://www.googleapis.com/auth/admin.directory.group.member
   

   （这和你代码里的ADMIN_DIRECTORY_GROUP_MEMBER是一一对应的）
6. 点击「授权」保存配置

二、在CodeIgniter代码中添加模拟管理员的配置 #

你的当前代码没有指定服务账号要模拟的域内用户，这是权限不足的直接原因。需要在代码中加入setSubject方法：
打开Google_mailinglist_model的__construct方法，在setScopes之后、fetchAccessTokenWithAssertion之前，新增以下代码：

// 替换成你Google Workspace域内的超级管理员邮箱（必须拥有群组成员管理权限）
$this->google_client->setSubject('super-admin@your-domain.com');

修正后的构造函数代码示例：

public function __construct() {
    parent::__construct();
    $this->load->config('google');
    $this->google_client = new Google_Client($this->config->item('google_service_account'));
    $this->google_client->setAuthConfig($this->config->item('google_service_account'));
    $this->google_client->setScopes([
        Google_Service_Directory::ADMIN_DIRECTORY_GROUP_MEMBER,
    ]);
    // 新增：指定服务账号要模拟的域内管理员账号
    $this->google_client->setSubject('super-admin@your-domain.com');
    $this->google_client->fetchAccessTokenWithAssertion();
    $this->google_directory = new Google_Service_Directory($this->google_client);
}

三、最后检查两个细节 #

1. 确认Admin SDK API已启用：
   登录Google Cloud Console，找到你的项目，搜索「Admin SDK API」，确保它处于「已启用」状态（未启用的话点击「启用」即可）
2. 验证模拟账号的权限：
   你用来模拟的邮箱必须是Google Workspace域内的有效账号，且至少拥有「管理群组成员」的权限（优先用超级管理员账号，避免权限不足的问题）

完成以上步骤后，再运行你的test方法，应该就能正常获取群组成员列表了。如果仍有问题，可以查看Google的错误日志详情，403错误通常会提示具体的权限缺失原因，比如作用域不匹配或模拟账号权限不足。

内容来源于stack exchange