如何在没有全域授权的情况下管理 google 组和修改用户属性？

Question

我想授予 GSA 直接修改 Google 用户 的权限。我找不到这方面的当前文档，所以假设现在不可能？

这似乎只适用于群组： https://workspaceupdates.googleblog.com/2020/08/new-api-cloud-identity-groups-google.html

我需要授予 GSA 访问权限以读取组成员身份并修改用户属性。

现在我：

• 为 G Suite 用户创建管理员
• 使用这些范围创建具有全域身份验证的 GSA
  • https://www.googleapis.com/auth/admin.directory.group
  • https://www.googleapis.com/auth/admin.directory.user

使用 GSA 模拟 G Suite 用户并像这样修改用户属性：

service = create_directory_service("G SUITE USER")
service.users().update(userKey=uKey, body=myAttributes).execute()

我仍然需要全域授权来修改用户属性吗？还是现在也支持了？

Answer 1

您可以按照此指南create a Service Account, turning on the Admin SDK API（允许服务帐户provision/manage用户）并授权。

创建的服务帐户随后可用于 provision/manage G-Suite 用户，这里是关于 how to manage user accounts using the Directory API 的指南，它是 Admin SDK 的一部分。

简而言之，是的，也可以通过使用服务帐户来管理用户，而不仅仅是组。