使用服务账号模拟超级管理员调用Admin SDK时遭遇401错误

我之前也踩过一模一样的坑！结合自己的排查经验，给你列几个大概率能解决问题的方向：

• 确认全域委派的配置细节是否完全正确
  别光说已经配置了，再仔细核对一遍：

  • 在GCP控制台的服务账号详情页，确保已经勾选「启用全域委派」，并且记下这个服务账号的客户端ID（注意不是OAuth客户端ID，是服务账号专属的123456789012-abcdefghijklmnopqrstuvwxyz.apps.googleusercontent.com格式的ID）
  • 登录G Suite Admin控制台，进入「安全性 > API控制 > 域名委派」，确认已经添加了上述客户端ID，并且授权的API范围包含你需要的Directory API权限（比如https://www.googleapis.com/auth/admin.directory.user.readonly，要精确匹配，不能漏写或者写错）

• 检查sub参数的有效性

  • sub必须是G Suite域内的管理员邮箱（至少要有对应Directory API操作的权限，最好是超级管理员，避免权限不足的隐性问题）
  • 绝对不能用普通用户邮箱，而且要确保邮箱拼写完全正确，包括域名部分（比如@yourcompany.com，不是@gmail.com）

• 核对Token请求的JWT payload参数
  模拟用户时，生成的JWT必须包含正确的字段：

  • iss：服务账号的完整邮箱（比如service-account@your-project.iam.gserviceaccount.com）
  • aud：固定为https://oauth2.googleapis.com/token
  • sub：目标管理员邮箱
  • scope：你需要的Admin SDK权限范围，多个用空格分隔
  • iat和exp：时间戳要合法，iat不能早于当前时间太多，exp不能超过iat+3600秒（1小时）
    请求Token时，grant_type必须是urn:ietf:params:oauth:grant-type:jwt-bearer，assertion是签名后的JWT字符串

• 排查缓存或旧Token的干扰
  有时候之前未模拟用户的Token会被代码或工具缓存，导致请求时用了错误的凭证。建议清空所有缓存的Token，或者在请求时明确指定要生成带sub的新Token。

• 确认Admin SDK API已启用
  去GCP控制台的「API和服务 > 已启用的API和服务」里，检查Admin SDK Directory API是否处于启用状态，别不小心给禁用了。

如果还是不行，可以试着手动走一遍服务账号模拟流程，看能不能成功获取Token，这样能快速定位是配置问题还是代码实现问题。

内容的提问来源于stack exchange，提问作者Hinchy