Skip to main content
2 / 4
本文から 1 文字削除

Google Admin SDK Directory APIを使ってドメイン内のすべてのロールを取得したい

Admin SDK Directory APIを使ってドメイン内のすべてのロールを取得したいのですが、
エラーとなり、原因、解決策をご存知な方がいれば教えて頂けないでしょうか?
(Userやグループの情報は問題なく取得できました。)
バッチ処理に組込みたいので、サービスアカウントを使ってAPIを実行しています。

{                                                       
  "error": {                                                        
    "code": 403,                                                        
    "message": "Not Authorized to access this resource/api",                                                        
    "errors": [                                                     
      {                                                     
        "message": "Not Authorized to access this resource/api",                                                        
        "domain": "global",                                                     
        "reason": "forbidden"                                                       
      }                                                     
    ]                                                       
  }                                                     
}

以下、設定した内容になります。

  1. GoogleDeveloperConsole

①「UserAndRoleGetter」という名前でプロジェクトを作成しました
② プロジェクトの設定で「Admin SDK API」を有効にしました
③認証情報で下記サービスアカウントを作成しました。
[email protected]
・サービスアカウントがアクセスにアクセス権として「オーナー」を付与しました
・サービスアカウントのキー(json)を作成しました。
④OAuth同意画面の設定を行いました
・ユーザーの種類:内部
・スコープ
auth/admin.directory.user.readonly
auth/admin.directory.rolemanagement.readonly

2.GoogleWorkspace管理コンソール

①作成したサービスアカウントにドメイン全体の委任を設定する為、
管理者でGoogleWorkspace管理コンソールにログインしました。
②「セキュリティ」-「アクセスとデータ管理」-「APIの制御」にて、サービスアカウントの
クライアントIDを追加して、下記スコープを付与しました。
・https://www.googleapis.com/auth/admin.directory.user.readonly
・https://www.googleapis.com/auth/admin.directory.rolemanagement.readonly
③「アカウント」-「管理者ロール」にて、「特権管理者」のロールをコピーして、「特権管理者2」を作成
④サービスアカウントに対して「特権管理者2」のロールを割り当てる

3.実行したコードとエラーについて

・下記C#で記述したコードになります

  static async Task Main( string[] args )
    {
        GoogleCredential credential;
        try
        {
            using ( FileStream stream = new FileStream( credentialPath, FileMode.Open, FileAccess.Read ) )
            {
                credential = GoogleCredential.FromStream( stream )
                    .CreateScoped( "https://www.googleapis.com/auth/admin.directory.user",
                                   "https://www.googleapis.com/auth/admin.directory.rolemanagement.readonly",
                                   "https://www.googleapis.com/auth/admin.directory.rolemanagement",
                                   "https://www.googleapis.com/auth/admin.directory.group" );
                    
            }

            

            // 認証トークンの取得
            string accessToken = await credential.UnderlyingCredential.GetAccessTokenForRequestAsync();

            // RestSharp クライアントの初期化              
            restClient = new RestClient();

            // ユーザー情報の取得(こちらは問題なく取得できます。)
            JObject user = await GetUser( accessToken, "[email protected]" );

            // 企業のロールの取得(エラーになり取得失敗します。)
            string roleId = "67382669507297285";
            JObject assignments = await GetRole( accessToken, customerId, roleId );
            
        }
        catch(Exception ex)
        {
            string errorMessage = $"{ex.Message}/{ex.InnerException?.Message}";
            Console.WriteLine( errorMessage );
        }            
    }

    /// <summary>
    /// GoogleのUserを取得します。
    /// </summary>
    /// <param name="accessToken"></param>
    /// <param name="restClient"></param>
    /// <returns></returns>
    /// <exception cref="Exception"></exception>
    private static async Task<JObject> GetUser(string accessToken, string userId)
    {
        try
        {                                
            string directoryApiUrl = "https://admin.googleapis.com/admin/directory/v1/users";
            string url = $"{directoryApiUrl}/{userId}";

            RestRequest request = new RestRequest( url, Method.Get );
            request.AddHeader( "Authorization", $"Bearer {accessToken}" );
            
            RestResponse response = await restClient.ExecuteAsync( request );
            if(!response.IsSuccessful)
            {
                throw new Exception( $"{response.StatusCode},{response.Content}" );
            }

            JObject result = JObject.Parse( response.Content );
            return result;
        }
        catch(Exception ex ) 
        {
            throw new Exception( "Userの取得でエラーが発生しました。", ex );
        }
    }

    /// <summary>
    /// Googleのロールを取得します。
    /// </summary>
    /// <param name="accessToken"></param>
    /// <param name="restClient"></param>
    /// <param name="customer"></param>
    /// <returns></returns>
    /// <exception cref="Exception"></exception>
    private static async Task<JObject> GetRole(string accessToken, string customer, string roleId)
    {
        try
        {   
            string url = $"https://admin.googleapis.com/admin/directory/v1/customer/{customer}/roles/{roleId}";

            RestRequest request = new RestRequest( url, Method.Get );
            request.AddHeader( "Authorization", $"Bearer {accessToken}" );
            
            RestResponse response = await restClient.ExecuteAsync( request );
            if ( !response.IsSuccessful )
            {
                JObject error = JObject.Parse( response.Content );
                throw new Exception( $"{response.StatusCode},{response.Content}" );
            }

            JObject result = JObject.Parse( response.Content );
            return result;
        }
        catch ( Exception ex )
        {
            throw new Exception( "Roleの取得でエラーが発生しました。", ex );
        }
    }

・下記エラーの内容です。

    {                                                       
  "error": {                                                        
    "code": 403,                                                        
    "message": "Not Authorized to access this resource/api",                                                        
    "errors": [                                                     
      {                                                     
        "message": "Not Authorized to access this resource/api",                                                        
        "domain": "global",                                                     
        "reason": "forbidden"                                                       
      }                                                     
    ]                                                       
  }                                                     
}