執行 Google Workspace 全網域授權委派

Cloud Search Query API 規定 API 呼叫必須以 OAuth 授權 擁有網域中授權使用者的憑證。根據預設，Service 存取索引和設定 API，則無法 用於查詢 API 呼叫，因為他們並非 Cloud Search 中的網域使用者 或 Google Workspace 授權如要使用服務帳戶 驗證查詢 API 呼叫，網域管理員可授予帳戶權限 全網域存取使用者資料 (稱為 全網域授權委派。已委派的服務帳戶 機構可以冒用任何使用者的身分，包括具備 Cloud Search 存取權的使用者。

建立服務帳戶和憑證

如果您沒有服務帳戶憑證，請參閱 建立服務帳戶憑證。

將全網域授權委派給服務帳戶

如要存取 Google Workspace 網域的使用者資料， 必須由網域的超級管理員授予您帳戶的存取權。 如要進一步瞭解全網域委派，請參閱 使用全網域委派功能控管 Google Workspace API 存取權。

如何將全網域授權委派給服務帳戶：

  1. 在網域的管理控制台中依序前往 主選單 > 安全性 >存取權與資料控管 >API 控制項。

  2. 在「全網域委派」窗格中，選取「管理全網域」 委派。

  3. 按一下 [Add new] (新增)。

  4. 在 [用戶端 ID] 欄位中，輸入 服務帳戶建立步驟

  5. 在「OAuth 範圍」欄位中輸入範圍清單，並以半形逗號分隔 應用程式所需的憑證使用範圍 針對搜尋應用程式使用 https://www.googleapis.com/auth/cloud_search.query 來檢視模型

  6. 按一下「授權」。

您的服務帳戶現在可以存取 Cloud Search Query API 的全網域存取權， 並可以冒用您網域中任何使用者的身分。可以開始使用了 以下列方式將已授權的 Cloud Search API 服務物件執行個體化： 網域使用者

將 Cloud Search API 服務物件例項化

本節說明如何將 Cloud Search API 服務物件例項化，然後 授權 API 使用 OAuth 2.0 和服務帳戶的 執行 Google Workspace 全網域委派作業。範例 從 JSON 格式的私密金鑰檔案中讀取服務帳戶資訊。

Java

import java.util.Collections;
import java.io.FileInputStream;
import com.google.api.client.googleapis.auth.oauth2.GoogleCredential;
import com.google.api.client.http.HttpTransport;
import com.google.api.client.json.JsonFactory;
import com.google.api.services.cloudsearch.v1.CloudSearch;
import com.google.api.services.cloudsearch.v1.CloudSearchScopes;
...

/** Path to the Service Account's Private Key file */
private static final String SERVICE_ACCOUNT_FILE_PATH = "/path/to/key.json";

/**
 * Build and return a Cloud Search service object authorized with the service
 * account that acts on behalf of the given user.
 *
 * @param userEmail The email of the user to impersonate. Needs permissions to access Cloud Search.
 * @return CloudSearch service object that is ready to make requests.
 */
public static CloudSearch getCloudSearchAPIService(String userEmail)
    throws FileNotFoundException, IOException {

  FileInputStream credsFile = new FileInputStream(SERVICE_ACCOUNT_FILE_PATH);

  GoogleCredential init = GoogleCredential.fromStream(credsFile);

  HttpTransport httpTransport = init.getTransport();
  JsonFactory jsonFactory = init.getJsonFactory();

  GoogleCredential creds = new GoogleCredential.Builder()
      .setTransport(httpTransport)
      .setJsonFactory(jsonFactory)
      .setServiceAccountId(init.getServiceAccountId())
      .setServiceAccountPrivateKey(init.getServiceAccountPrivateKey())
      .setServiceAccountScopes(Collections.singleton(CloudSearchScopes.CLOUD_SEARCH_QUERY))
      .setServiceAccountUser(userEmail)
      .build();

  CloudSearch service = new CloudSearch.Builder(httpTransport, jsonFactory, creds).build();

  return service;
}

Python

from google.oauth2 import service_account
from googleapiclient.discovery import build

# Path to the Service Account's Private Key file
SERVICE_ACCOUNT_FILE_PATH = "/path/to/key.json"

def create_query_api_service(user_email):
    """Build and return a CloudSearch service object authorized with the service
    account that acts on behalf of the given user.

    Args:
        user_email: The email of the user to impersonate. Needs permissions to access Cloud Search.
    Returns:
        Cloud Search Query API service object that is ready to make requests.
    """
    credentials = service_account.Credentials.from_service_account_file(
        SERVICE_ACCOUNT_FILE_PATH,
        scopes=['https://www.googleapis.com/auth/cloud_search.query'])

    delegated_credentials = credentials.with_subject(user_email)

    return build("cloudsearch", "v1", credentials=delegated_credentials)