如何通过ServiceAccount调用API在不同用户间转移Google Calendar事件

一、所需权限配置 #

通用基础权限 #

• 日历API授权范围：需要申请https://www.googleapis.com/auth/calendar.events（最小权限）或者https://www.googleapis.com/auth/calendar（全量日历权限）。
• 操作身份权限要求：执行移动操作的身份，必须同时对源日历（User1的calendar1）有编辑权限、对目标日历（User2的calendar2）有编辑权限。

按账号类型区分的额外权限 #

1. Google Workspace企业账号场景

• 必须为ServiceAccount开启全域权限委派（Domain-wide Delegation），才能通过JWT的sub参数模拟Workspace下的任意用户身份。
• 需在Google Workspace管理后台为该ServiceAccount的客户端ID分配上述日历API的授权范围。

2. 个人@Gmail.com账号场景

• 个人Gmail账号不支持ServiceAccount模拟用户（sub参数无效），需要手动给ServiceAccount的邮箱地址分别分配两个日历的编辑权限：
  • 打开User1的calendar1设置，在共享设置中添加ServiceAccount邮箱，权限设置为「编辑活动及共享」
  • 打开User2的calendar2设置，同样添加ServiceAccount邮箱，权限设置为「编辑活动及共享」

二、正确实现步骤 #

场景1：Google Workspace企业账号 #

1. 进入Google Cloud控制台的ServiceAccount详情页，开启「全域权限委派」开关，复制ServiceAccount对应的客户端ID。
2. 登录Google Workspace管理后台，进入「安全 > 访问权限和数据控制 > API控制 > 全域权限委派」，新增委派规则：填入刚才复制的客户端ID，授权范围填写https://www.googleapis.com/auth/calendar.events后保存。
3. 生成JWT时添加sub参数，值为需要模拟的用户邮箱（可以是User1、User2，或任何同时拥有两个日历编辑权限的Workspace用户）。
4. 发起请求时注意参数大小写，目标日历参数名为小写的destination，正确请求示例：

POST https://www.googleapis.com/calendar/v3/calendars/[User1日历ID]/events/[event1ID]/move?destination=[User2日历ID]

请求头携带Authorization: Bearer [获取到的访问令牌]即可。

场景2：个人Gmail账号 #

1. 按照上述权限要求，先给ServiceAccount邮箱配置两个日历的编辑权限。
2. 生成JWT时不需要添加sub参数，直接使用ServiceAccount本身的身份申请访问令牌，权限范围选择https://www.googleapis.com/auth/calendar.events。
3. 发起和上述相同的小写destination参数的POST请求即可。

三、你当前报错的常见原因 #

1. 若使用个人Gmail账号，添加了sub参数模拟用户，该操作不被支持，导致身份校验失败返回无权限。
2. 请求参数中Destination首字母大写，谷歌API参数大小写敏感，无法识别该参数导致权限校验逻辑异常。
3. 若使用Workspace账号，未开启全域委派、未给ServiceAccount分配正确的API范围、或模拟的用户本身没有两个日历的操作权限。

内容的提问来源于stack exchange，提问作者Lali