nodejs 라이브러리를 사용하여 Google 리셀러 API에 대한 서비스 계정 인증 문제

debugcn 에 게시 Dev

Gh05d

나는 nodejs 라이브러리를 사용하여 Google 리셀러 API에 액세스하려고합니다 . 여기 예제를 따라 시도했지만 이 오류로 3 단계에서 실패했습니다.

  code: 403,
  errors: [
    {
      domain: 'global',
      reason: 'insufficientPermissions',
      message: 'Authenticated user is not authorized to perform this action.'
    }
  ]

내 구성은 다음과 같습니다.

    const OAUTH2_SCOPES = [
      "https://www.googleapis.com/auth/admin.directory.user",
      "https://www.googleapis.com/auth/apps.order",
      "https://www.googleapis.com/auth/siteverification",
      "https://www.googleapis.com/auth/cloud-platform",
    ];

   const authJWT = new google.auth.JWT({
      keyFile: JSON_PRIVATE_KEY_FILE,
      scopes: OAUTH2_SCOPES,
      subject: RESELLER_ADMIN_USER,
      email: "gsuite-reseller@some-cool-name-because-why-not.iam.gserviceaccount.com",
    });

기본 Google fu를 사용하여이 스레드를 찾았 는데, 이는 내 문제가 가장과 관련이 있음을 시사했습니다. 그래서 나는 subject소유주 권한이 지정된 계정 이메일로 부동산 의 이메일을 교환했습니다 . 나는 또한 서비스 계정 소유자 권한을 부여했습니다. 그 시점에서 나는 꽤 단서가 없기 때문입니다. 이것은 불행히도 오류 메시지를 다음과 같이 변경했습니다.

status: 401,
statusText: 'Unauthorized'

아무도 무엇이 잘못되었는지 알고 있습니까? (401)는 실종 자격이 있다는 것을 시사한다. 서비스 계정 외에 내 개인 이메일 자격 증명도 지정해야합니까? 그렇다면 어디? 나는 google.auth.JWT.options유망하게 들리는 물건에 대한 어떤 재산도 찾지 못했습니다 .

지가 노츠 카

도메인 전체 위임이 필요한 이유는 무엇입니까?

서비스 계정을 사용하고 도메인 전체 위임을 사용 설정하면 서비스 계정이 사용자를 징계하고 그를 대신하여 행동 할 수 있습니다.
명의 도용없이 서비스 계정을 사용하는 경우-서비스 계정은 인증 된 작업 만 수행 할 수 있습니다 (예 : 드라이브의 파일에 액세스하거나 캘린더에 액세스 할 수 있음).하지만 서비스 계정과 명시 적으로 공유 한 경우에만 가능합니다.
서비스 계정이 승인되지 않은 요청을 수행하려면 서비스 계정이 필요한 승인이있는 도메인 사용자를 가장해야합니다. 즉, 사용자를 가장해야합니다.
그러나 사용자를 가장하려면 서비스 계정에 사용자를 대신 할 수있는 권한을 명시 적으로 부여해야합니다.이를 도메인 전체 위임이라고합니다.
도메인 전체 위임을 사용하면 "생성 된 모든 사용자가 수동 인증을 거쳐야"하거나 다른 비 서비스 계정 관련 동작에 영향을주지 않습니다.
유일한 작업 domain-wide delegation은 서비스 계정이 사용자를 나타내도록 허용하는 것입니다.
도메인 전체 위임을 활성화하지 않으면 사용자의 가장이 승인되지 않으며 a subject를 설정 하면 오류가 발생합니다.

참조 :

이 기사는 인터넷에서 수집됩니다. 재 인쇄 할 때 출처를 알려주십시오.

침해가 발생한 경우 연락 주시기 바랍니다[email protected] 삭제

에서 수정2021-04-2

몇 마디 만하겠습니다

0리뷰

로그인참여 후 검토

Related 관련 기사

기사