Admin SDK Directory APIを使ってドメイン内のすべてのロールを取得したいのですが、
エラーとなり、原因、解決策をご存知な方がいれば教えて頂けないでしょうか?
(Userやグループの情報は問題なく取得できました。)
バッチ処理に組込みたいので、サービスアカウントを使ってAPIを実行しています。
{
"error": {
"code": 403,
"message": "Not Authorized to access this resource/api",
"errors": [
{
"message": "Not Authorized to access this resource/api",
"domain": "global",
"reason": "forbidden"
}
]
}
}
以下、設定した内容になります。
- GoogleDeveloperConsole
①「UserAndRoleGetter」という名前でプロジェクトを作成しました
② プロジェクトの設定で「Admin SDK API」を有効にしました
③認証情報で下記サービスアカウントを作成しました。
[email protected]
・サービスアカウントがアクセスにアクセス権として「オーナー」を付与しました
・サービスアカウントのキー(json)を作成しました。
④OAuth同意画面の設定を行いました
・ユーザーの種類:内部
・スコープ
auth/admin.directory.user.readonly
auth/admin.directory.rolemanagement.readonly
2.GoogleWorkspace管理コンソール
①作成したサービスアカウントにドメイン全体の委任を設定する為、
管理者でGoogleWorkspace管理コンソールにログインしました。
②「セキュリティ」-「アクセスとデータ管理」-「APIの制御」にて、サービスアカウントの
クライアントIDを追加して、下記スコープを付与しました。
・https://www.googleapis.com/auth/admin.directory.user.readonly
・https://www.googleapis.com/auth/admin.directory.rolemanagement.readonly
③「アカウント」-「管理者ロール」にて、「特権管理者」のロールをコピーして、「特権管理者2」を作成
④サービスアカウントに対して「特権管理者2」のロールを割り当てる
3.実行したコードとエラーについて
・下記C#で記述したコードになります
static async Task Main( string[] args )
{
GoogleCredential credential;
try
{
using ( FileStream stream = new FileStream( credentialPath, FileMode.Open, FileAccess.Read ) )
{
credential = GoogleCredential.FromStream( stream )
.CreateScoped( "https://www.googleapis.com/auth/admin.directory.user.readonly",
"https://www.googleapis.com/auth/admin.directory.rolemanagement.readonly");
}
// 認証トークンの取得
string accessToken = await credential.UnderlyingCredential.GetAccessTokenForRequestAsync();
// RestSharp クライアントの初期化
restClient = new RestClient();
// ユーザー情報の取得(こちらは問題なく取得できます。)
JObject user = await GetUser( accessToken, "[email protected]" );
// 企業のロールの取得(エラーになり取得失敗します。)
string roleId = "67382669507297285";
JObject assignments = await GetRole( accessToken, customerId, roleId );
}
catch(Exception ex)
{
string errorMessage = $"{ex.Message}/{ex.InnerException?.Message}";
Console.WriteLine( errorMessage );
}
}
/// <summary>
/// GoogleのUserを取得します。
/// </summary>
/// <param name="accessToken"></param>
/// <param name="restClient"></param>
/// <returns></returns>
/// <exception cref="Exception"></exception>
private static async Task<JObject> GetUser(string accessToken, string userId)
{
try
{
string directoryApiUrl = "https://admin.googleapis.com/admin/directory/v1/users";
string url = $"{directoryApiUrl}/{userId}";
RestRequest request = new RestRequest( url, Method.Get );
request.AddHeader( "Authorization", $"Bearer {accessToken}" );
RestResponse response = await restClient.ExecuteAsync( request );
if(!response.IsSuccessful)
{
throw new Exception( $"{response.StatusCode},{response.Content}" );
}
JObject result = JObject.Parse( response.Content );
return result;
}
catch(Exception ex )
{
throw new Exception( "Userの取得でエラーが発生しました。", ex );
}
}
/// <summary>
/// Googleのロールを取得します。
/// </summary>
/// <param name="accessToken"></param>
/// <param name="restClient"></param>
/// <param name="customer"></param>
/// <returns></returns>
/// <exception cref="Exception"></exception>
private static async Task<JObject> GetRole(string accessToken, string customer, string roleId)
{
try
{
string url = $"https://admin.googleapis.com/admin/directory/v1/customer/{customer}/roles/{roleId}";
RestRequest request = new RestRequest( url, Method.Get );
request.AddHeader( "Authorization", $"Bearer {accessToken}" );
RestResponse response = await restClient.ExecuteAsync( request );
if ( !response.IsSuccessful )
{
JObject error = JObject.Parse( response.Content );
throw new Exception( $"{response.StatusCode},{response.Content}" );
}
JObject result = JObject.Parse( response.Content );
return result;
}
catch ( Exception ex )
{
throw new Exception( "Roleの取得でエラーが発生しました。", ex );
}
}
・下記エラーの内容です。
{
"error": {
"code": 403,
"message": "Not Authorized to access this resource/api",
"errors": [
{
"message": "Not Authorized to access this resource/api",
"domain": "global",
"reason": "forbidden"
}
]
}
}