我参与构建了一个内部使用的应用程序，用户可以通过该应用程序上传文件，并将其存储在 Google 云端硬盘中。由于建议不要将服务帐户用作文件所有者，我希望代表公司系统管理员有权访问的指定用户帐户上传应用程序。

我已经创建了应用程序以及一个服务帐户。为服务帐户创建了两个 key ，因为我已尝试使用 JSON 和 PKCS12 格式来实现此目的:

我已经下载了 OAuth 2.0 客户端 ID 详细信息，还有服务帐户 key 的 .json 和 .p12 文件(按上面显示的顺序):

我让我的系统管理员按照此处详述的步骤将 Drive API 访问权限委托(delegate)给服务帐户:https://developers.google.com/drive/v2/web/delegation#delegate_domain-wide_authority_to_your_service_account

我们发现在第 4 步中唯一对“客户名称”起作用的是为 Web 应用程序列出的“客户 ID”(以 .apps.googleusercontent.com 结尾)。为服务帐户 key 列出的长十六进制 ID 不是它所需要的(见下文):

在上述之前，我有代码创建一个 DriveService 实例，该实例可以直接上传到服务帐户，引用服务帐户 key 的 .json 文件:

private DriveService GetServiceA()
{
    var settings = SettingsProvider.GetInstance();

    string keyFilePath = HostingEnvironment.MapPath("~/App_Data/keyfile.json");
    var scopes = new string[] { DriveService.Scope.Drive };

    var stream = new IO.FileStream(keyFilePath, IO.FileMode.Open, IO.FileAccess.Read);
    var credential = GoogleCredential.FromStream(stream);
    credential = credential.CreateScoped(scopes);

    var service = new DriveService(new BaseClientService.Initializer()
    {
        HttpClientInitializer = credential,
        ApplicationName = "MyAppName"
    });

    return service;
}

这适用于列表和上传，当然没有用于访问文件的 Web UI，而且它似乎不处理诸如权限元数据或缩略图生成之类的事情，例如PDF。这就是我尝试使用标准帐户进行上传的原因。

一旦委托(delegate)明显排序，我便尝试调整上面链接的委托(delegate)引用中显示的代码，结合其他地方的代码以从 .json key 文件中提取必要的详细信息。使用此代码，只要我尝试执行任何 API 命令，即使是简单的命令:

FileList fileList = service.FileList().Execute();

我收到一个错误:

异常详细信息:Google.Apis.Auth.OAuth2.Responses.TokenResponseException:错误:“unauthorized_client”，说明:“未经授权的客户端或请求范围。”，Uri:“”

这项工作的代码是:

private DriveService GetServiceB()
{
  var settings = SettingsProvider.GetInstance();

  string keyFilePath = HostingEnvironment.MapPath("~/App_Data/keyfile.json");
  string serviceAccountEmail = "<account-email>@<project-id>.iam.gserviceaccount.com";
  var scopes = new string[] { DriveService.Scope.Drive };

  var stream = new IO.FileStream(keyFilePath, IO.FileMode.Open, IO.FileAccess.Read);
  var reader = new IO.StreamReader(stream);
  string jsonCreds = reader.ReadToEnd();
  var o = JObject.Parse(jsonCreds);
  string privateKey = o["private_key"].ToString();

  var credential = new ServiceAccountCredential(
    new ServiceAccountCredential.Initializer(serviceAccountEmail)
    {
      Scopes = scopes,
      User = "designated.user@sameappsdomain.com"
    }
    .FromPrivateKey(privateKey)
  );

  var service = new DriveService(new BaseClientService.Initializer()
  {
    HttpClientInitializer = credential,
    ApplicationName = "MyAppName"
  });

  return service;
}

最后，我创建了第二个服务帐户 key 来保存一个 .p12 文件，以便更接近授权文档中的代码，但导致相同的异常:

private DriveService GetServiceC()
{
  var settings = SettingsProvider.GetInstance();

  string p12KeyFilePath = HostingEnvironment.MapPath("~/App_Data/keyfile.p12");
  string serviceAccountEmail = "<account-email>@<project-id>.iam.gserviceaccount.com";
  var scopes = new string[] { DriveService.Scope.Drive }; // Full access

  X509Certificate2 certificate = new X509Certificate2(
    p12KeyFilePath,
    "notasecret",
    X509KeyStorageFlags.Exportable
  );

  var credential = new ServiceAccountCredential(
    new ServiceAccountCredential.Initializer(serviceAccountEmail)
    {
      Scopes = scopes,
      User = "designated.user@sameappsdomain.com"
    }
    .FromCertificate(certificate)
  );

  var service = new DriveService(new BaseClientService.Initializer()
  {
    HttpClientInitializer = credential,
    ApplicationName = "MyAppName"
  });

  return service;
}

此方法所在的最小相关类是:

public class GoogleDrive
{
  public DriveService Service { get; private set; }

  public GoogleDrive()
  {
    this.Service = this.GetService();
  }

  private DriveService GetService()
  {
    // Code from either A, B or C
  }

  public FilesResource.ListRequest FileList()
  {
    return this.Service.Files.List();
  }
}

这是以这种方式使用的:

var service = new GoogleDrive();
FilesResource.ListRequest listRequest = service.FileList();
FileList fileList = listRequest.Execute();

异常发生在最后一行。

我不明白为什么我的服务帐户不能代表指定用户执行操作，而指定用户是应用程序的服务帐户应该拥有授权的域的一部分。我在这里误解了什么？

最佳答案

我自己找到了答案，是配置，而不是代码。我与授权步骤共享的链接没有提及创建服务帐户时可用的选项:一个复选框，表示该帐户将有资格进行全域授权 (DwD)。 p>

此链接更准确地描述了服务帐户的创建和委派:https://developers.google.com/identity/protocols/OAuth2ServiceAccount

我在创建服务帐户时不知道 DwD，因此没有选择该选项。可以返回并编辑服务帐户以将其选中。一旦我这样做了，我就能够检索到一个正确的客户端 ID，用于管理控制台的“管理 API 客户端访问”部分。然后使用 GetServiceC() 方法按预期工作，我能够为同一 Apps 域中的用户检索文件。

这是一个需要勾选的复选框，服务帐户才有资格获得域范围的授权:

这是完成后可用的额外信息(旁边有一个一次性服务帐户，未勾选方框，以进行比较):

关于c# - 将 Google 云端硬盘访问权限委托(delegate)给服务帐户失败，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/40849141/