如何解决Google服务账号创建Team Drive的insufficientFilePermissions错误？

Hey，我来帮你梳理下用服务账号创建Shared Drive（原Team Drive）时碰到的insufficientFilePermissions问题，结合你提到的代码、配置和日志，整理了几个关键排查点和解决方案：

Shared Drive（原Team Drive）是Google Workspace专属资源，普通的Google Cloud服务账号（未关联Workspace域）默认没有创建权限，这是导致insufficientFilePermissions最常见的原因。另外，即使关联了Workspace，也需要正确配置权限和授权逻辑。

1. 确认服务账号的归属 #

• 必须使用Google Workspace域内创建/关联的服务账号：个人Google账号下的服务账号，或者未绑定Workspace的Cloud服务账号，根本没有创建Shared Drive的权限。
• 操作：登录Google Workspace Admin Console，进入「IAM & Admin > Service accounts」，确认你的服务账号已被添加到域中，或者直接在域内创建新的服务账号。

2. 配置Workspace级别的创建权限 #

• 登录Workspace Admin Console，进入「Apps > Google Workspace > Drive and Docs > Shared Drives」
• 在「Who can create Shared Drives」选项中，设置为「Anyone in the organization」，或者专门将你的服务账号添加到允许创建的列表中。
• 这个步骤是核心，很多人会忽略Workspace层面的权限限制，只配置Cloud IAM权限。

3. 配置Cloud IAM权限 #

• 登录Google Cloud Console，进入项目的「IAM」页面
• 找到你的服务账号，添加「Roles > Drive > Drive Admin」角色（或者更细粒度的「Drive Shared Drive Creator」角色，如果可用）
• 确保服务账号拥有https://www.googleapis.com/auth/drive的完整权限范围。

4. 修正代码中的关键细节 #

授权逻辑 #

确保用服务账号密钥文件正确初始化Drive服务，并且指定正确的scope：

import com.google.api.client.googleapis.auth.oauth2.GoogleCredentials;
import com.google.api.services.drive.Drive;
import com.google.api.services.drive.DriveScopes;

import java.io.FileInputStream;
import java.util.Collections;

public class SOTeamDriveCreate {
    public static void main(String[] args) throws Exception {
        // 加载服务账号密钥
        GoogleCredentials credentials = GoogleCredentials.fromStream(new FileInputStream("service-account-key.json"))
                .createScoped(Collections.singletonList(DriveScopes.DRIVE));
        
        // 初始化Drive服务
        Drive driveService = new Drive.Builder(
                GoogleNetHttpTransport.newTrustedTransport(),
                JacksonFactory.getDefaultInstance(),
                credentials)
                .setApplicationName("Your App Name")
                .build();
        
        // 创建Shared Drive
        createSharedDrive(driveService);
    }

    private static void createSharedDrive(Drive driveService) throws Exception {
        com.google.api.services.drive.model.Drive drivePayload = new com.google.api.services.drive.model.Drive()
                .setName("My Test Shared Drive");
        
        // 必须设置唯一的requestId，保证幂等性（防止重复创建）
        com.google.api.services.drive.model.Drive createdDrive = driveService.drives().create(drivePayload)
                .setRequestId(java.util.UUID.randomUUID().toString())
                .execute();
        
        System.out.println("Created Shared Drive ID: " + createdDrive.getId());
    }
}

注意点 #

• 必须调用drives().create()接口，而不是普通的files().create()（后者是创建普通文件夹，不是Shared Drive）
• setRequestId是必填参数，用于避免重复创建相同的Shared Drive，必须是唯一的字符串（用UUID生成最稳妥）

5. 验证域委派（可选） #

如果你的需求是代表Workspace域内的用户创建Shared Drive，还需要：

• 在Workspace Admin Console的「API Controls > Domain wide delegation」中，添加服务账号的客户端ID，授权scope为https://www.googleapis.com/auth/drive
• 代码中需要模拟用户身份：

  GoogleCredentials credentials = GoogleCredentials.fromStream(new FileInputStream("service-account-key.json"))
          .createDelegated("user@your-domain.com") // 替换为域内用户邮箱
          .createScoped(Collections.singletonList(DriveScopes.DRIVE));
  

如果还是报错，仔细看日志中的详细错误信息：

• 如果提示User cannot create shared drives：回到步骤2，检查Workspace的Shared Drive创建权限配置
• 如果提示Insufficient Permission：检查步骤3的Cloud IAM角色是否正确添加，以及代码中的scope是否包含DriveScopes.DRIVE

内容的提问来源于stack exchange，提问作者EGHM