使用PHP Google库创建Google Workspace用户时遭遇403权限错误：Not Authorized to access this resource/api

我明白你现在的困扰——明明服务账号能正常调用listUsers接口拉取用户列表，但是到创建用户这一步就弹出403权限不足的报错，这确实挺闹心的。我帮你梳理几个核心排查点，你可以一个个核对下：

• 域范围委派的Scope配置要精准
  首先得确认你在Google Workspace管理后台的「域范围委派」里，已经把创建用户必需的权限Scope加进去了，也就是https://www.googleapis.com/auth/admin.directory.user。要注意和代码里用的Scope完全一致，不能有拼写错误，多一个少一个字符都不行。另外，刚加完域范围委派可能需要等个3-5分钟让配置同步，别刚改完就急着测试。

• 必须模拟超级管理员身份调用
  这是很多人踩坑的点！服务账号本身没法直接创建Workspace用户，你必须在代码里让它模拟一个域内超级管理员账号的身份来操作。比如在初始化Google Client的时候，一定要加上setSubject($adminEmail)这行代码，举个PHP的示例片段：

  $client = new Google\Client();
  $client->setAuthConfig('你的服务账号密钥文件.json');
  $client->setScopes([Google\Service\Directory::ADMIN_DIRECTORY_USER]);
  // 关键：把这里改成你的域超级管理员邮箱
  $client->setSubject('admin@你的域名.com');
  
  $service = new Google\Service\Directory($client);
  

  要是没加这一步，服务账号就会用自己的默认身份请求，自然没有创建用户的权限，直接返回403。

• 服务账号的角色权限要对应到位
  你说已经给服务账号加了Owner和Admin Security权限，但要重点确认：这个服务账号的角色是否包含「创建用户」的具体权限。Workspace里创建用户的核心权限，需要超级管理员或者专门的「用户管理管理员」角色。你可以去Workspace管理后台的角色管理里，检查下给服务账号的角色明细，别光看角色名称，要确认权限列表里确实有创建用户的选项。另外，权限要确保是应用到整个域，不是某个特定的组织单元，否则创建用户时也会因为范围限制报错。

• 代码里的创建请求格式别出错
  虽然listUsers能正常运行，但创建用户的请求体得符合要求，比如必须包含primaryEmail、name这些必填字段，邮箱得是你的域内格式。这里给你一个标准的创建用户代码片段参考，你可以对照着检查自己的代码：

  // 构建用户对象
  $user = new Google\Service\Directory\User();
  $userName = new Google\Service\Directory\UserName();
  $userName->setGivenName('张三');
  $userName->setFamilyName('张');
  $user->setName($userName);
  $user->setPrimaryEmail('zhangsan@你的域名.com');
  $user->setPassword('Temp@123456'); // 注意密码要符合Workspace的复杂度要求
  
  try {
      $createdUser = $service->users->insert($user);
      echo "用户创建成功：" . $createdUser->getPrimaryEmail();
  } catch (Google\Service\Exception $e) {
      echo "创建失败：" . $e->getMessage();
  }
  

备注：内容来源于stack exchange，提问作者csotelo