使用Google ServiceAccountCredential调用Admin Directory API时出现401登录要求错误

我帮你分析下这个401问题——虽然你给服务账号配置了Project Owner角色和正确的作用域，但调用Google Directory API这类Workspace专属API时，服务账号有个关键配置很容易被忽略：域范围委派，而且必须模拟域内的管理员用户才能正常访问。下面是具体的排查和修复步骤：

1. 确认域范围委派已正确配置 #

• 登录你的Google Workspace管理员控制台，找到「安全」→「API控制」→「域范围委派」
• 点击「添加新的客户端ID」，输入服务账号的客户端ID（可从你的凭证JSON文件的client_id字段获取）
• 添加你需要的作用域（比如只读权限用https://www.googleapis.com/auth/admin.directory.orgunit.readonly，读写权限用https://www.googleapis.com/auth/admin.directory.orgunit），保存配置。注意这里的作用域必须和代码中使用的完全一致，不能有拼写错误。

2. 代码中必须模拟域内管理员用户 #

服务账号本身无法直接访问Directory API，必须模拟一个域内拥有「组织单位管理员」权限的账号（比如你的Workspace超级管理员账号）。在.NET代码中，需要在创建凭证时指定Subject参数：

using Google.Apis.Auth.OAuth2;
using Google.Apis.Admin.Directory.directory_v1;
using Google.Apis.Services;

// 加载服务账号凭证
var credential = GoogleCredential.FromFile("path/to/your/service-account.json")
    .CreateScoped(new[] { DirectoryService.Scope.AdminDirectoryOrgunitReadonly })
    // 替换为你域内拥有OrgUnit权限的管理员邮箱
    .CreateWithUser("admin@your-domain.com");

// 初始化Directory服务
var service = new DirectoryService(new BaseClientService.Initializer()
{
    HttpClientInitializer = credential,
    ApplicationName = "Your App Name",
});

// 调用OrgUnits列表接口
var orgUnits = service.Orgunits.List("your-domain.com").Execute();

3. 排查作用域与权限匹配 #

• 确保代码中的作用域和域范围委派中添加的完全一致，避免出现权限范围不匹配的情况
• 确认你模拟的用户确实在Workspace中拥有「组织单位管理」权限：登录Workspace管理员控制台，找到该用户的权限设置，确认已分配对应的管理员角色

4. 检查凭证JSON的正确性 #

• 确认你使用的是服务账号的JSON凭证，而非OAuth客户端ID的JSON文件
• 检查JSON文件的type字段值为service_account，如果不是，说明你下载错了凭证文件

补充说明：Project Owner角色是针对Google Cloud项目的权限，和Workspace API的访问权限是相互独立的——即使服务账号拥有Project Owner权限，没有配置域范围委派和模拟用户，依然会返回401未授权错误。

内容的提问来源于stack exchange，提问作者zenocon