1

Admin SDK Directory APIを使ってドメイン内のすべてのロールを取得したいのですが、
エラーとなり、原因、解決策をご存知な方がいれば教えて頂けないでしょうか?
(Userやグループの情報は問題なく取得できました。)
バッチ処理に組込みたいので、サービスアカウントを使ってAPIを実行しています。

{                                                       
  "error": {                                                        
    "code": 403,                                                        
    "message": "Not Authorized to access this resource/api",                                                        
    "errors": [                                                     
      {                                                     
        "message": "Not Authorized to access this resource/api",                                                        
        "domain": "global",                                                     
        "reason": "forbidden"                                                       
      }                                                     
    ]                                                       
  }                                                     
}

以下、設定した内容になります。

  1. GoogleDeveloperConsole

 ①「UserAndRoleGetter」という名前でプロジェクトを作成しました
 ② プロジェクトの設定で「Admin SDK API」を有効にしました
 ③認証情報で下記サービスアカウントを作成しました。
  [email protected]
 ・サービスアカウントがアクセスにアクセス権として「オーナー」を付与しました
 ・サービスアカウントのキー(json)を作成しました。
 ④OAuth同意画面の設定を行いました
 ・ユーザーの種類:内部
 ・スコープ
   auth/admin.directory.user.readonly
   auth/admin.directory.rolemanagement.readonly

2.GoogleWorkspace管理コンソール

 ①作成したサービスアカウントにドメイン全体の委任を設定する為、
  管理者でGoogleWorkspace管理コンソールにログインしました。
 ②「セキュリティ」-「アクセスとデータ管理」-「APIの制御」にて、サービスアカウントの
  クライアントIDを追加して、下記スコープを付与しました。
  ・https://www.googleapis.com/auth/admin.directory.user.readonly
  ・https://www.googleapis.com/auth/admin.directory.rolemanagement.readonly
 ③「アカウント」-「管理者ロール」にて、「特権管理者」のロールをコピーして、「特権管理者2」を作成
 ④サービスアカウントに対して「特権管理者2」のロールを割り当てる

3.実行したコードとエラーについて

 ・下記C#で記述したコードになります
  

  static async Task Main( string[] args )
    {
        GoogleCredential credential;
        try
        {
            using ( FileStream stream = new FileStream( credentialPath, FileMode.Open, FileAccess.Read ) )
            {
                credential = GoogleCredential.FromStream( stream )
                    .CreateScoped( "https://www.googleapis.com/auth/admin.directory.user.readonly",
                                   "https://www.googleapis.com/auth/admin.directory.rolemanagement.readonly");
                    
            }

            

            // 認証トークンの取得
            string accessToken = await credential.UnderlyingCredential.GetAccessTokenForRequestAsync();

            // RestSharp クライアントの初期化              
            restClient = new RestClient();

            // ユーザー情報の取得(こちらは問題なく取得できます。)
            JObject user = await GetUser( accessToken, "[email protected]" );

            // 企業のロールの取得(エラーになり取得失敗します。)
            string roleId = "67382669507297285";
            JObject assignments = await GetRole( accessToken, customerId, roleId );
            
        }
        catch(Exception ex)
        {
            string errorMessage = $"{ex.Message}/{ex.InnerException?.Message}";
            Console.WriteLine( errorMessage );
        }            
    }

    /// <summary>
    /// GoogleのUserを取得します。
    /// </summary>
    /// <param name="accessToken"></param>
    /// <param name="restClient"></param>
    /// <returns></returns>
    /// <exception cref="Exception"></exception>
    private static async Task<JObject> GetUser(string accessToken, string userId)
    {
        try
        {                                
            string directoryApiUrl = "https://admin.googleapis.com/admin/directory/v1/users";
            string url = $"{directoryApiUrl}/{userId}";

            RestRequest request = new RestRequest( url, Method.Get );
            request.AddHeader( "Authorization", $"Bearer {accessToken}" );
            
            RestResponse response = await restClient.ExecuteAsync( request );
            if(!response.IsSuccessful)
            {
                throw new Exception( $"{response.StatusCode},{response.Content}" );
            }

            JObject result = JObject.Parse( response.Content );
            return result;
        }
        catch(Exception ex ) 
        {
            throw new Exception( "Userの取得でエラーが発生しました。", ex );
        }
    }

    /// <summary>
    /// Googleのロールを取得します。
    /// </summary>
    /// <param name="accessToken"></param>
    /// <param name="restClient"></param>
    /// <param name="customer"></param>
    /// <returns></returns>
    /// <exception cref="Exception"></exception>
    private static async Task<JObject> GetRole(string accessToken, string customer, string roleId)
    {
        try
        {   
            string url = $"https://admin.googleapis.com/admin/directory/v1/customer/{customer}/roles/{roleId}";

            RestRequest request = new RestRequest( url, Method.Get );
            request.AddHeader( "Authorization", $"Bearer {accessToken}" );
            
            RestResponse response = await restClient.ExecuteAsync( request );
            if ( !response.IsSuccessful )
            {
                JObject error = JObject.Parse( response.Content );
                throw new Exception( $"{response.StatusCode},{response.Content}" );
            }

            JObject result = JObject.Parse( response.Content );
            return result;
        }
        catch ( Exception ex )
        {
            throw new Exception( "Roleの取得でエラーが発生しました。", ex );
        }
    }

 ・下記エラーの内容です。
  

    {                                                       
  "error": {                                                        
    "code": 403,                                                        
    "message": "Not Authorized to access this resource/api",                                                        
    "errors": [                                                     
      {                                                     
        "message": "Not Authorized to access this resource/api",                                                        
        "domain": "global",                                                     
        "reason": "forbidden"                                                       
      }                                                     
    ]                                                       
  }                                                     
}   

1 件の回答 1

0

④サービスアカウントに対して「特権管理者2」のロールを割り当てる

サービス アカウントに権限を付与する代わりに、権限を有するユーザーに委任を行うことで、ロールの一覧を表示できると思います。

GoogleCredential.CreateWithUser(string user) で委任先のユーザーのメールアドレスを設定することで、対象ユーザーへの委任ができます。

以下、サンプル コードとなります。ディレクトリ アクセスのクライアント ライブラリ Google.Apis.Admin.Directory.directory_v1 を使用しています。

static async Task Main(string[] args)
{           
    string jsonCredentialPath = @"<your file path>.json";
    // 委任するユーザーアカウントのメールアドレス
    string userForDomainWideDelegation = "<[email protected]>";

    // https://admin.google.com/ac/accountsettings から取得した顧客 ID
    string customerId = "<顧客 ID>";

    string[] scopes = new[]
    {
        DirectoryService.Scope.AdminDirectoryRolemanagementReadonly,
    };
    
    GoogleCredential serviceAccountCredential;

    using (FileStream stream = new FileStream(jsonCredentialPath, FileMode.Open, FileAccess.Read))
    {
        // 資格情報の生成
        serviceAccountCredential = GoogleCredential.FromStream(stream)
            .CreateScoped(scopes)
            .CreateWithUser(userForDomainWideDelegation); // 委任
    }            

    DirectoryService directoryService = new(new BaseClientService.Initializer()
    {
        HttpClientInitializer = serviceAccountCredential,
    });

    try
    {
        // ロールの一覧を取得
        var roles = await directoryService.Roles.List(customerId).ExecuteAsync();

        foreach (var role in roles.Items)
        {
            Console.WriteLine($"{role.RoleId}, {role.RoleName}, {role.RoleDescription}");
        }

    }
    catch (Exception ex)
    {        
        Console.WriteLine(ex);
    }

}
1
  • ご回答ありがとうございます。ご教示頂いたコードでロール情報を取得することができました!
    – yasunori
    Commented 5月27日 8:49

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。