需启用对应API、配置OAuth同意屏幕、创建OAuth凭据、为服务账号授权域范围权限，并通过API Explorer验证；否则调用Drive、Gmail或Admin SDK等服务将报“API not enabled”或“Permission denied”错误。
如果您尝试在 Google Workspace 环境中调用 Drive、Gmail 或 Admin SDK 等服务，但收到“API not enabled”或“Permission denied”错误，则很可能是相关 API 尚未在 Google Cloud 项目中启用。以下是开启 Google Workspace 相关 API 并完成开发者接口配置的具体步骤：
一、启用 Google Workspace 所需的 API
Google Workspace 各项服务（如 Gmail、Calendar、Drive）均通过独立的 API 提供访问能力，必须在 Google Cloud 控制台中逐一启用对应 API，否则请求将被拒绝。
1、访问 https://console.cloud.google.com/apis/dashboard，使用与 Google Workspace 组织关联的管理员账号登录。
2、在顶部选择或创建一个已与 Google Workspace 组织绑定的 Cloud 项目（若未绑定，请先在 Google Admin 控制台 > “安全” > “API 控制台”中授权该项目）。
3、点击左上角“菜单”图标，依次进入 API 和服务 > 库。
4、在搜索框中输入目标 API 名称，例如 Gmail API，点击结果进入详情页。
5、点击 启用 按钮。对其他必要 API（如 Admin SDK API、Drive API、Calendar API）重复执行步骤 4。
二、配置 OAuth 同意屏幕（必需）
所有面向用户数据的 Google Workspace API 调用均需经过 OAuth 2.0 授权流程，因此必须配置 OAuth 同意屏幕以定义应用名称、支持邮箱及用户可见范围。
1、在 Google Cloud 控制台中，点击左侧菜单 API 和服务 > OAuth 同意屏幕。
2、在“用户类型”中，根据部署场景选择：内部（仅限同一 Google Workspace 组织内用户）或 外部（面向公众或跨组织用户）。
3、填写“应用名称”，该名称将在用户授权弹窗中显示；在“用户支持邮箱”中选择一个组织内有效邮箱地址。
4、滚动至“开发人员联系信息”，填入一个可接收项目通知的管理员邮箱。
5、点击 保存并继续，跳过“作用域”添加步骤（当前快速配置可暂不添加，后续按需补充）。
三、创建 OAuth 2.0 凭据
OAuth 凭据用于标识您的应用并获取访问令牌，必须与已配置的同意屏幕关联，且其应用类型需匹配客户端运行环境（如 Web 应用、桌面应用或后端服务）。
1、进入 API 和服务 > 凭据 页面。
2、点击 创建凭据 > OAuth 客户端 ID。
3、在“应用类型”中，根据实际场景选择：Web 应用（前端 JS 调用）、桌面应用（本地 CLI 工具）或 其他（无浏览器环境）。
4、为客户端 ID 输入唯一名称；若选 Web 应用，需在“已获授权的重定向 URI”中添加确切回调地址（如 http://localhost:8080/callback）。
5、点击 创建，系统将生成 客户端 ID 和 客户端密钥，请立即复制并安全存储。
四、为服务账号授予 Google Workspace 域范围权限（仅限 Admin SDK 等高权限 API）
当使用服务账号以代理方式管理整个组织（如批量创建用户、读取全部邮件日志）时，必须在 Google Admin 控制台中为其授予相应 API 的域范围授权，否则将返回 403 Forbidden 错误。
1、前往 https://admin.google.com，使用超级管理员账号登录。
2、依次进入 安全 > API 控制台访问权限（路径可能显示为“管理 API 访问权限”）。
3、点击 管理域范围授权。
4、点击 + 添加，在“客户端 ID”字段中粘贴上一步创建的服务账号的 客户端 ID（格式类似 xxxxx.apps.googleusercontent.com）。
5、在“范围”字段中，逐行输入所需权限范围，例如：
https://www.googleapis.com/auth/admin.directory.user
https://www.googleapis.com/auth/admin.reports.audit.readonly。
6、点击 授权 完成配置。
五、验证 API 可访问性与凭据有效性
配置完成后，需通过最小化测试确认 API 已正确启用、OAuth 流程可触发且令牌能成功换取资源访问权，避免因遗漏环节导致后续集成失败。
1、使用 Google API Explorer（如 https://developers.google.com/apis/explorer）选择已启用的 API（如 Admin SDK），点击“授权访问”按钮。
2、选择已配置的 OAuth 凭据所属账号进行登录，并接受权限请求。
3、在 Explorer 中填写必要参数（如 customer 为 my_customer），点击 执行。
4、若响应状态码为 200 OK 且返回有效 JSON 数据（如用户列表），则表明 API 启用与凭据配置均已生效。
