Google服务账号未获Calendar API授权，请求排查G Suite域日历接入问题

看起来你已经走完了基础配置流程，但还是遇到授权报错，咱们一步步来核对可能遗漏的关键环节：

• 确认OAuth客户端权限范围的准确性
  在ManageOauthClients页面输入权限时，必须填写Calendar API的完整权限URL，不能简写。比如只读权限是https://www.googleapis.com/auth/calendar.readonly，全权限是https://www.googleapis.com/auth/calendar。如果输错了权限路径，服务账号自然拿不到授权。

• 检查域范围委派是否真的启用
  回到服务账号的详情页面，找到「域范围委派」选项，确认它显示为「已启用」。这个开关是服务账号能访问G Suite域内用户资源的核心，要是没打开，哪怕权限填对了也没用。

• 给权限变更留足生效时间
  G Suite的权限同步不是即时的，有时候需要15-30分钟甚至更久才能生效。如果刚设置完就测试，大概率会遇到授权失败，先等一段时间再重试。

• 代码中必须指定模拟用户
  服务账号本身没有属于自己的日历资源，它必须通过模拟G Suite域内的某个用户来访问日历。所以在代码里一定要加上subject参数（对应模拟的用户邮箱，比如admin@yourdomain.com）。举个Python的示例：

  from google.oauth2 import service_account
  from googleapiclient.discovery import build
  
  SCOPES = ['https://www.googleapis.com/auth/calendar']
  SERVICE_ACCOUNT_FILE = 'your-key-file.json'
  
  credentials = service_account.Credentials.from_service_account_file(
      SERVICE_ACCOUNT_FILE, scopes=SCOPES, subject='user@your-domain.com')
  
  service = build('calendar', 'v3', credentials=credentials)
  

  要是没加这个subject，服务账号不知道该访问哪个用户的日历，必然会报授权错误。

• 用命令行验证权限配置
  可以用gcloud工具快速验证权限是否生效：

  # 激活服务账号并模拟域内用户
  gcloud auth activate-service-account AAA@BBB.iam.gserviceaccount.com --key-file=your-key.json --impersonate-user=user@your-domain.com
  # 尝试列出日历
  gcloud calendars list
  

  如果这个命令能返回日历列表，说明权限配置没问题，问题出在代码逻辑；如果还是报错，那就要回头检查权限范围和域委派的设置。

先从这几个方向排查，最常见的问题就是权限路径写错、没加模拟用户或者没等权限生效。

内容的提问来源于stack exchange，提问作者Yeronimo