ruby - 将域范围委托(delegate)与 Google API 结合使用时出现未经授权的客户端错误

Question

我们使用谷歌 API Ruby 客户端和全域委派来更新用户的联系人，解析电子邮件以将它们与我们的数据库配对等。在 4 月 1 日之前一切正常，但是，从那以后我们得到 unauthorized_client 错误响应。

Signet::AuthorizationError (Authorization failed.  Server message:)
{
  "error": "unauthorized_client",
  "error_description": "Client is unauthorized to retrieve access tokens using this method, or client not authorized for any of the scopes requested."
}

我已经尝试过什么？

我已尝试将 google-api-ruby-client 和 googleauth gem 更新到最新版本。什么都没有改变。

我还尝试(两次)生成新的服务帐户，为 DWD 启用它，并使用服务帐户的客户端 ID 在 G Suite 管理控制台中添加所需的范围。在管理控制台中添加范围后，我等待了 24 小时，但没有任何变化。

请注意，过去使用相同的设置一切正常。

最少的测试代码

这是引发错误的最少代码。

require 'googleauth'
require 'google/apis/gmail_v1'

creds = ENV['GOOGLE_SERVICE_ACCOUNT'] # JSON downloaded from cloud console
                                      # is saved in this ENV variable
creds_json = JSON.parse(creds)
creds_json_io = StringIO.new(creds_json.to_json)
auth = Google::Auth::ServiceAccountCredentials.make_creds(
  json_key_io: creds_json_io,
  scope: [Google::Apis::GmailV1::AUTH_GMAIL_MODIFY]
)
auth.sub = 'admin@slideslive.com' # without this line everything works fine
                                  # and I get the access token
auth.fetch_access_token

据我所知，我们正在根据可用文档进行所有操作。请问有人有什么建议吗？

更新

我还尝试在同一个组织下创建一个新的 Google Cloud Platform 项目，只添加了服务帐户，但一切都保持不变。

Answer 1

所以我终于弄清楚问题出在哪里了。在其他范围中，我还启用了这些:

http://www.google.com/m8/feeds/contacts/ 
http://www.google.com/m8/feeds/groups/ 

原来 Google 可能使它们无效，它们现在需要 https 而不是 http。

如果他们提供更好的错误消息就好了，比如在 Google 管理控制台中授权时输入的范围无效。

我在尝试为与我用于服务帐户的相同范围授权普通 OAuth2 客户端 ID 时发现错误。 OAuth2 同意屏幕显示正确的错误消息。

更新

这是我为排除服务帐户错误而创建的 list :

1. 检查是否已在 Google Cloud Console 中为服务帐户启用域范围委派。
2. 检查您是否使用服务帐户的客户端 ID(而不是其电子邮件!)在 Google 管理控制台中输入了正确范围。确保所有范围都有效!他们可能在有生之年变得无效。当您输入无效范围时，即使在有效范围内获取访问 token 时也会出现 unauthorized_client 错误。