G Suite/Workspace商店应用更新企业邮箱签名的API报错如何解决

方案1错误（Delegation denied）原因及解决 #

原因：域管理员的普通OAuth凭证不具备直接操作其他用户Gmail私人设置的权限，Gmail的用户级配置默认隔离，管理员也无法直接跨账号修改，必须走身份模拟流程。
该方案逻辑本身不可行，无需调整权限，直接改用身份模拟方案即可。

方案2错误（PERMISSION_DENIED 权限不足）原因及解决 #

触发该错误有两个核心原因：

1. 你使用的impersonated_credentials模拟方式仅支持以服务账户凭证作为源凭证，你当前用普通管理员OAuth授权拿到的凭证没有服务账户模拟权限，无法作为模拟的源身份。
2. 没有给应用开启Google Workspace全域权限委托，哪怕使用服务账户也会触发权限不足。

具体解决步骤 #

第一步：调整应用授权模式

如果你是开发自用的内部工具：

• 到Google Cloud控制台创建服务账户，开启「全域权限委托」，获取服务账户的JSON密钥文件。
• 让企业管理员登录自己的Google Workspace管理后台，进入「安全 > API控制 > 全域权限委托」，添加你的服务账户客户端ID，给这个ID授权以下scope：

https://www.googleapis.com/auth/admin.directory.user.readonly
https://www.googleapis.com/auth/gmail.settings.basic
https://www.googleapis.com/auth/gmail.settings.sharing

如果你是开发公开的Workspace商店应用：

• 在Google Cloud控制台的「OAuth同意屏幕」设置应用为公开，并且在「Workspace Marketplace SDK」配置页声明上述所需scope，提交应用审核，审核通过后管理员安装应用时会自动完成全域权限授权，不需要手动配置委托。

第二步：调整代码逻辑

改用服务账户凭证的subject参数进行用户模拟，参考代码如下：

from googleapiclient.discovery import build
from google.oauth2 import service_account

# 服务账户密钥文件路径
SERVICE_ACCOUNT_FILE = '你的服务账户密钥.json'
# 所需scope
SCOPES = [
    'https://www.googleapis.com/auth/admin.directory.user.readonly',
    'https://www.googleapis.com/auth/gmail.settings.basic',
    'https://www.googleapis.com/auth/gmail.settings.sharing',
]

# 要修改签名的用户邮箱
target_email = 'user_email@without_admin.access'

# 先模拟域管理员查询用户信息（如果需要遍历用户的话，模拟的管理员需要有目录读权限）
admin_creds = service_account.Credentials.from_service_account_file(
    SERVICE_ACCOUNT_FILE,
    scopes=SCOPES,
    subject='你的域管理员邮箱@yourdomain.com'
)
directory_service = build('admin', 'directory_v1', credentials=admin_creds)
# 可直接用邮箱查询用户，无需遍历所有用户
user = directory_service.users().get(userKey=target_email).execute()

# 模拟目标用户，修改签名
user_creds = service_account.Credentials.from_service_account_file(
    SERVICE_ACCOUNT_FILE,
    scopes=SCOPES,
    subject=target_email
)
gmail_service = build('gmail', 'v1', credentials=user_creds)
# 调用接口时userId直接填me即可，因为当前凭证已经是模拟目标用户的
gmail_service.users().settings().sendAs().patch(
    userId='me',
    sendAsEmail=target_email,
    body={'signature': 'Awesome Signature'}
).execute()

内容的提问来源于stack exchange，提问作者K A