GCP服务账号创建的Google Sheets/Docs无法在iframe显示及相关配置问题

1. iframe嵌入带完整UI的Google Docs/Sheets #

你遇到的权限报错核心原因是服务账号创建的文件默认所有者为服务账号本身，未授权其他用户访问，同时API Key仅可用于调用Google Workspace REST API，无法用于网页端界面的身份验证。
解决方案：

• 调整权限scope：在创建文档/表格的代码中，新增Google Drive相关scope：https://www.googleapis.com/auth/drive.file，确保你有权限修改文件的访问权限
• 创建文件后追加权限配置：调用Drive API的permissions.create接口，按需给文件授予访问权限：
  • 如果允许所有访客查看，配置参数为type: "anyone", role: "reader"
  • 如果仅允许指定用户/域名访问，配置参数为type: "user", role: "reader/ writer", emailAddress: "目标用户邮箱"
• iframe直接使用https://docs.google.com/document/d/DOC_ID或https://docs.google.com/spreadsheets/d/SHEET_ID作为src，无需携带API Key参数，权限配置完成后即可正常加载完整界面。

2. 网页端查看服务账号创建的文件 #

服务账号是独立的Google账号，其Drive存储空间与你的个人账号完全隔离，因此直接访问个人Drive看不到对应文件，GCP本身也没有提供服务账号Drive的专属网页入口。
解决方案：
每次创建文件时，在权限配置步骤将你个人的Google账号添加为文件的协作者（角色设为编辑者/所有者即可），后续所有服务账号创建的文件都会自动出现在你的个人Drive列表中，可直接在网页端查看、编辑。

3. AWS侧Workload Identity Federation配置 #

你已经完成了GCP侧的基础配置，AWS侧仅需完成以下步骤：

• 确认GCP侧AWS提供商的属性映射配置正确：将AWS身份的ARN、账号ID等字段映射到GCP的自定义属性，可按需添加属性过滤规则，仅允许指定的AWS角色/用户访问你的GCP服务账号
• 确保你的AWS工作负载（EC2、Lambda、EKS Pod等）已经绑定了对应的IAM角色，且该角色可以正常获取AWS原生身份凭证
• 业务代码中删除原有服务账号JSON密钥的引用，使用Google Cloud官方客户端库即可自动完成AWS凭证到GCP访问令牌的兑换，无需额外硬编码密钥。

另外补充你代码中的注意点：当前列表、重命名接口未配置scope仍可运行，是因为你给服务账号授予的IAM权限过宽，建议显式补充对应Drive scope，避免后续权限调整后业务出错。

内容的提问来源于stack exchange，提问作者Jon Levischi