本教程详细介绍了如何使用PHP和Google Admin SDK（Directory API）来获取Google Workspace用户所属的群组列表。文章聚焦于解决常见的“unauthorized_client”授权错误，并通过配置服务账号的域范围授权（Domain-Wide Delegation）、正确设置API Scope以及模拟域管理员身份（setSubject）来确保API调用的成功。通过清晰的步骤和代码示例，帮助开发者实现用户群组信息的程序化管理。
引言：使用PHP和Google Admin SDK管理用户群组
在Google Workspace环境中，管理员经常需要程序化地管理用户、群组、设备等资源。Google Admin SDK提供了一系列API，允许开发者通过代码实现这些管理功能。本教程将专注于如何利用PHP客户端库，结合Admin SDK的Directory API，来获取特定用户所属的群组列表。我们将特别关注在实现过程中可能遇到的授权问题，并提供一套完整的解决方案。
核心概念与前置条件
在开始编码之前，理解以下核心概念和完成必要的准备工作至关重要：
Google Workspace Domain-Wide Delegation (DWD)：DWD是Google Cloud平台的一项特性，允许服务账号（Service Account）代表Google Workspace域中的任何用户执行操作。这意味着，即使您的应用程序不是由特定用户直接授权的，它也可以在获得DWD授权后，以该用户的身份或管理员身份执行操作。这是访问Admin SDK的关键。
服务账号（Service Account）：服务账号是一种特殊的Google账号，用于服务器到服务器的交互，无需最终用户参与。它通过JSON密钥文件进行认证。
Admin SDK Directory API：这是Google Admin SDK的一部分，提供了管理用户、群组、组织单元等资源的接口。我们将使用其groups服务来查询群组信息。
所需权限（Scopes）：API调用需要相应的授权范围（Scopes）。对于获取用户群组列表，至少需要以下Scope：
https://www.googleapis.com/auth/admin.directory.group.readonly：只读访问群组信息。https://www.googleapis.com/auth/userinfo.email 和 https://www.googleapis.com/auth/userinfo.profile：用于获取当前认证用户的基本信息（如邮箱）。
准备工作：
立即学习“PHP免费学习笔记（深入）”；
启用Admin SDK API：在您的Google Cloud项目中，确保已启用Admin SDK API。创建服务账号与密钥：访问Google Cloud Console。导航到“IAM & 管理” > “服务账号”。创建一个新的服务账号。为该服务账号生成一个新的JSON密钥，并下载到您的项目目录中。配置服务账号的DWD：在Google Cloud Console的服务账号详情页，找到服务账号的唯一客户端ID。登录Google Workspace管理员控制台（admin.google.com）。导航到“安全性” > “API 控件” > “域范围委派”。添加新的API客户端，输入服务账号的客户端ID，并授权上述所需的API Scope（特别是 https://www.googleapis.com/auth/admin.directory.group.readonly）。Composer安装Google API客户端库：在您的PHP项目中，通过Composer安装Google API客户端库：
composer require google/apiclient:^2.0
PHP代码实现：获取用户群组列表
以下是实现获取用户群组列表的PHP代码示例，它结合了用户OAuth认证获取用户邮箱和通过服务账号进行Admin SDK调用的策略。
步骤一：用户认证与信息获取
首先，我们需要通过标准的OAuth 2.0流程让用户登录，并获取其邮箱地址。这个邮箱将用于后续查询该用户所属的群组。
setClientId('YOUR_CLIENT_ID.apps.googleusercontent.com'); // 替换为您的客户端ID$client->setClientSecret('YOUR_CLIENT_SECRET'); // 替换为您的客户端密钥$client->setRedirectUri('YOUR_REDIRECT_URL'); // 替换为您的重定向URL$client->setApplicationName("Your Application Name"); // 替换为您的应用名称// 添加获取用户邮箱和个人资料信息的Scope$client->addScope("https://www.googleapis.com/auth/userinfo.email");$client->addScope("https://www.googleapis.com/auth/userinfo.profile");// 仅为Admin SDK操作添加的Scope，这里先不添加，后面服务账号认证时再添加// $client->addScope("https://www.googleapis.com/auth/admin.directory.group.readonly");$userEmail = '';// 处理OAuth回调if (isset($_GET['code'])) { $token = $client->fetchAccessTokenWithAuthCode($_GET['code']); if (!isset($token["error"])) { $client->setAccessToken($token['access_token']); // 获取用户个人资料信息 $google_oauth = new Google_Service_Oauth2($client); $google_account_info = $google_oauth->userinfo->get(); $userEmail = $google_account_info->email; echo "当前登录用户邮箱: " . $userEmail . "
"; } else { echo "OAuth认证失败: " . $token["error_description"] . "
"; }} else { // 如果没有认证码，则重定向到Google认证页面 $authUrl = $client->createAuthUrl(); echo "点击此处登录Google"; exit;}// ... 接下来是服务账号授权和群组查询?>
步骤二：服务账号授权与群组查询
在获取到用户邮箱后，我们将切换到服务账号的认证模式，并利用域范围授权来查询该用户所属的群组。
setAuthConfig('path/to/your/service-account-key.json'); // 替换为您的JSON密钥文件路径 // 设置要模拟的管理员邮箱。此邮箱必须是Google Workspace域内的管理员账号， // 并且具有读取群组的权限。这是DWD的关键一步。 $client->setSubject('admin-user@yourdomain.com'); // 替换为您的域管理员邮箱 // 添加Admin SDK Directory API的只读Scope // 注意：这个Scope必须在Google Workspace管理员控制台的DWD中授权给服务账号 $client->addScope("https://www.googleapis.com/auth/admin.directory.group.readonly"); try { // 实例化Google Directory服务 $service = new Google_Service_Directory($client); // 配置查询参数：指定域和要查询的用户邮箱 $optParams = array( 'domain' => 'yourdomain.com', // 替换为您的Google Workspace域名 'userKey' => $userEmail // 查询此用户所属的群组 ); // 调用listGroups方法获取群组列表 $googleGroups = $service->groups->listGroups($optParams); $groups = $googleGroups->getGroups(); if (!empty($groups)) { echo "用户 " . $userEmail . " 所属群组列表:
"; echo "- "; foreach ($groups as $group) { echo "
- " . $group->getName() . " (" . $group->getEmail() . ") "; } echo "
"; } } catch (Google_Service_Exception $e) { echo "获取群组时发生错误: " . $e->getMessage() . "
"; // 详细错误信息可能在 $e->getErrors() 中 } catch (Exception $e) { echo "未知错误: " . $e->getMessage() . "
"; }} else { echo "无法获取用户邮箱，请先完成OAuth认证。
";}?>
完整示例代码
将上述两个步骤的代码整合，形成一个完整的PHP脚本：
setApplicationName($appName);$userEmail = '';// --- 步骤一：用户认证与信息获取 ---// 用于获取当前登录用户的邮箱，以便后续查询其群组$client->setClientId($clientId);$client->setClientSecret($clientSecret);$client->setRedirectUri($redirectUri);$client->addScope("https://www.googleapis.com/auth/userinfo.email");$client->addScope("https://www.googleapis.com/auth/userinfo.profile");if (isset($_GET['code'])) { $token = $client->fetchAccessTokenWithAuthCode($_GET['code']); if (!isset($token["error"])) { $client->setAccessToken($token['access_access_token']); $google_oauth = new Google_Service_Oauth2($client); $google_account_info = $google_oauth->userinfo->get(); $userEmail = $google_account_info->email; echo "当前登录用户邮箱: " . htmlspecialchars($userEmail) . "
"; // --- 步骤二：服务账号授权与群组查询 --- // 重新配置客户端，使用服务账号进行认证，以执行Admin SDK操作 $client->setAuthConfig($serviceAccountKeyPath); $client->setSubject($adminImpersonationEmail); // 模拟域管理员 // 确保服务账号已通过DWD授权此Scope $client->addScope("https://www.googleapis.com/auth/admin.directory.group.readonly"); try { $service = new Google_Service_Directory($client); $optParams = array( 'domain' => $googleWorkspaceDomain, 'userKey' => $userEmail ); $googleGroups = $service->groups->listGroups($optParams); $groups = $googleGroups->getGroups(); if (!empty($groups)) { echo "用户 " . htmlspecialchars($userEmail) . " 所属群组列表:
"; echo "- "; foreach ($groups as $group) { echo "
- " . htmlspecialchars($group->getName()) . " (" . htmlspecialchars($group->getEmail()) . ") "; } echo "
"; } } catch (Google_Service_Exception $e) { echo "获取群组时发生API错误: " . htmlspecialchars($e->getMessage()) . "
"; // 更多错误信息: print_r($e->getErrors()); } catch (Exception $e) { echo "发生未知错误: " . htmlspecialchars($e->getMessage()) . "
"; } } else { echo "OAuth认证失败: " . htmlspecialchars($token["error_description"]) . "
"; }} else { // 如果没有认证码，则生成认证URL并重定向 $authUrl = $client->createAuthUrl(); echo "";}?>
注意事项与常见问题解决
unauthorized_client 错误解析：这个错误通常表示您的客户端没有足够的权限执行请求的操作。针对本教程的场景，最常见的原因是：
服务账号未配置DWD：确保服务账号的客户端ID已在Google Workspace管理员控制台的“域范围委派”中添加，并授权了所有必要的Scope（特别是 https://www.googleapis.com/auth/admin.directory.group.readonly）。setSubject 邮箱不正确或无权限：setSubject 中指定的邮箱必须是您的Google Workspace域内的管理员账号，并且该管理员账号本身拥有读取群组的权限。如果模拟的用户没有权限，即使服务账号有DWD，操作也会失败。JSON密钥文件路径错误或文件损坏：确保 setAuthConfig() 指向正确的服务账号JSON密钥文件。Scope缺失或不匹配：确保 addScope() 中添加的Scope与DWD中授权给服务账号的Scope完全一致。
setSubject 的作用：$client->setSubject(‘admin-user@yourdomain.com’); 这一行是DWD的核心。它告诉Google API客户端，服务账号将代表 admin-user@yourdomain.com 这个用户执行后续操作。因此，admin-user@yourdomain.com 必须是一个实际存在的、具有相应权限的域内管理员账号。
Scope的正确使用：
用于用户OAuth认证的Scope（如 userinfo.email）与用于服务账号DWD的Admin SDK Scope（如 admin.directory.group.readonly）是不同的。确保在相应阶段添加正确的Scope。请记住，即使代码中添加了Scope，最终的权限仍然受限于Google Workspace管理员控制台中为服务账号配置的DWD。
JSON密钥文件的安全性：服务账号的JSON密钥文件包含敏感凭据，应像对待密码一样妥善保管。不要将其上传到公共代码仓库，并确保服务器上的文件权限设置正确，仅限应用程序访问。
API速率限制：Google API对请求有速率限制。在进行大量查询时，请注意处理API响应中的错误（如429 Too Many Requests），并实现适当的重试机制和退避策略。
总结
通过本教程，我们学习了如何利用PHP和Google Admin SDK（Directory API）来获取Google Workspace用户的群组列表。成功的关键在于正确配置服务账号的域范围授权，确保所需的API Scope已在Google Workspace管理员控制台授权，并在代码中通过 setAuthConfig() 加载服务账号密钥并通过 setSubject() 模拟具有相应权限的域管理员。遵循这些步骤，可以有效解决常见的授权问题，实现对Google Workspace资源的程序化管理。
以上就是使用PHP和Google Admin SDK列出用户所属群组：解决授权问题指南的详细内容，更多请关注php中文网其它相关文章！
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 chuangxiangniao@163.com 举报，一经查实，本站将立刻删除。
发布者：程序猿，转转请注明出处：https://www.chuangxiangniao.com/p/1340719.html
微信扫一扫 
支付宝扫一扫 
