启用域委派的GCP服务账号调用Drive API访问共享云盘突发404错误

高概率触发原因定位 #

按出现概率从高到低排序，结合3个盘仅2个异常、服务账号配置无变更、问题近几周才出现、网页端可正常访问的特征，可优先排查以下场景：

• 共享云盘对DWD模拟身份的权限被意外移除
  启用全域委派的服务账号，所有API调用本质是模拟指定域内普通用户的身份完成操作，并非服务账号本身直接访问资源。
  出现404而非明确的403无权限提示，是Drive API的固定规则：如果一个用户对共享云盘没有成员权限，API不会返回“无权限”，而是直接返回“资源不存在”。
  你遇到的情况完全匹配这个规则：剩余1个正常云盘，应该是之前单独给模拟的域用户账号添加过成员权限；2个异常云盘之前依赖域内“所有员工默认可访问共享云盘”的全局规则拿到权限，近期云盘所有者关闭了这个云盘的全局访问开关，模拟域用户的权限就被回收，API自然找不到对应云盘。
  验证方式：打开两个异常云盘的成员管理界面，检查DWD配置中subject参数对应的域内用户账号（也就是服务账号模拟的那个身份）是否在成员列表中。
• 云盘所有权变更导致ID失效
  如果云盘近期发生过所有权转移、跨组织迁移操作，云盘的内部唯一ID会发生变更。代码里硬编码的旧ID和当前云盘的实际ID不匹配，就会返回404。
  验证方式：从Drive网页端打开异常云盘，从地址栏复制当前的云盘ID，和代码里存储的ID做对比。
• API调用参数缺失
  你的创建文件夹代码已经加了supportsAllDrives=True，但如果初始化Drive服务时缺少includeItemsFromAllDrives=True参数，对共享云盘的资源访问会被默认过滤。同时在执行列表查询操作时，必须显式指定corpora='drive'和对应driveId，否则API会将请求判定为查询个人云盘，无法匹配到共享云盘的资源。

最小化验证测试代码 #

from google.oauth2 import service_account
from googleapiclient.discovery import build

SCOPES = ['https://www.googleapis.com/auth/drive']
# 注意：subject参数必须填写DWD对应的域内普通用户邮箱，不能直接填服务账号邮箱
credentials = service_account.Credentials.from_service_account_file(
    '你的服务账号凭证文件路径.json', scopes=SCOPES
).with_subject('DWD模拟域用户@你的企业域名.com')

service = build('drive', 'v3', credentials=credentials)

# 逐个测试三个云盘的基础访问权限
drive_list = ['异常云盘1ID', '异常云盘2ID', '正常云盘ID']
for did in drive_list:
    try:
        drive_info = service.drives().get(driveId=did, fields='id,name').execute()
        print(f"云盘{did}访问正常，名称：{drive_info.get('name')}")
    except Exception as e:
        print(f"云盘{did}访问失败：{str(e)}")

如果测试代码中调用drives().get()对两个异常云盘也返回404，100%可以确认是权限回收问题，只需要让云盘所有者在成员列表中手动添加DWD模拟的域用户为编辑权限，等待5分钟左右即可恢复，不需要修改服务账号配置或服务器环境。

内容的提问来源于stack exchange，提问作者Squirrel623