Google Apps Script用服务账号OAuth2调用Admin API添加用户到Google Group

DevOps 小满

2026-10-6

问题原因与修正方案

1. 核心权限配置缺失

开启全域权限委派的服务账号本身没有Google Workspace域内资源的管理权限，调用Admin Directory API时必须模拟一名拥有对应权限的域内管理员账号才能完成操作。你当前的OAuth2服务配置未添加.setSubject()参数指定要模拟的管理员邮箱，这是触发403权限报错的根本原因。

2. 请求规则不匹配

Admin Directory API新增群组成员的接口不需要在路径末尾附加/insert后缀，仅需要向https://admin.googleapis.com/admin/directory/v1/groups/{groupKey}/members发送POST请求即可。原请求的路径错误、HTTP方法使用错误，才会触发路径不存在和方法不匹配的报错。

3. 冗余参数问题

原请求URL中附加的memberKey属于冗余参数，成员邮箱信息已经在请求体中传递，无需额外在URL中添加。

修正后的核心代码

调整OAuth2服务配置，添加模拟身份参数：

const _getAdminService = serviceAccount => {
  return OAuth2.createService('admin-sdk-test')
    .setTokenUrl('https://accounts.google.com/o/oauth2/token')
    .setPrivateKey(serviceAccount.private_key)
    .setIssuer(serviceAccount.client_email)
    // 新增此行，填入你域内拥有群组管理权限的管理员邮箱
    .setSubject('admin@your-domain.com')
    .setPropertyStore(PropertiesService.getScriptProperties())
    .setCache(CacheService.getUserCache())
    .setLock(LockService.getUserLock())
    .setScope([
      'https://www.googleapis.com/auth/admin.directory.group',
      'https://www.googleapis.com/auth/admin.directory.group.member',
      'https://www.googleapis.com/auth/admin.directory.user',
    ]);
};

调整请求路径与方法：

const _executeWithAuth2 = (groupKey, email) => {
  console.log('_executeWithAuth2()');
  const adminService = _getAdminService(serviceAccount);
  if (!adminService.hasAccess()) {
    Logger.log('ERROR n' + adminService.getLastError());
    return;
  }

  // 修正请求路径
  const url = `https://admin.googleapis.com/admin/directory/v1/groups/${groupKey}/members`;

  const headers = {
    Authorization: `Bearer ${adminService.getAccessToken()}`,
  };
  const options = {
    // 修正请求方法为POST
    method: 'post',
    headers,
    contentType: 'application/json',
    payload: JSON.stringify({
      email,
      role: 'MEMBER',
      kind: 'admin#directory#member',
      type: 'USER',
    }),
    muteHttpExceptions: true,
  };

  console.log(`fetch(${url}, ${JSON.stringify(options, null, 2)})`);

  const result = UrlFetchApp.fetch(url, options).getContentText();
  console.log(result);
  return result;
};

补充验证点

确认setSubject填写的管理员账号属于当前Google Workspace域，且拥有目标群组的管理权限
确认管理控制台中全域权限委派配置的服务账号Client ID、作用域和代码中配置的内容完全一致，无拼写错误
调整配置后可先调用adminService.reset()清空之前缓存的无效令牌，避免旧令牌影响测试结果

内容的提问来源于stack exchange，提问作者Dmitry Kostyuk