使用全网域授权功能控制 API 访问权限

• 确保您拥有 Google Workspace 账号的超级用户权限。
• 查看全网域授权最佳实践和服务账号使用最佳实践。
• 验证应用或服务账号所需的 API 范围列表。检查应用或服务账号是否拥有适当小的访问权限范围。
• （如果委托 OAuth 应用）从应用开发者处获取 OAuth 客户端 ID。
• （如果委托服务账号）获取服务账号的客户端 ID。如果您是服务账号的所有者，则可以按以下方式查找 ID：
  1. 以超级用户身份登录 Google Cloud。
  2. 点击 IAM 和管理服务账号[服务账号名称]。
  3. 展开高级设置，然后复制客户端 ID。
• 利用全网域授权，应用可以访问您的所有用户的数据。我们建议您定期检查服务账号，并删除不再使用的账号。

建议您最好定期检查应用的范围，并移除不需要或不常用的范围。同时，也请删除不再需要的客户端。举例来说，完成迁移后，请移除迁移工具的访问权限。

1. 使用超级用户账号登录 Google 管理控制台。

   如果您使用的不是超级用户账号，则无法完成这些步骤。

2. 依次点击“菜单”图标  安全性 > 访问权限和数据控件 > API 控件 > 管理全网域授权。

   您必须以超级用户身份登录，才能执行此任务。

3. 点击客户端名称，然后选择一项操作：

• 查看详细信息：查看完整的客户端名称和范围列表。
• 修改：添加或移除范围。您无法修改客户端 ID。更改最长可能需要 24 小时才会生效，但通常不需要这么久。了解详情
• 删除：需要客户端授权的应用会立即停止运行。

  注意：如果您的组织启用了多方审批，则需要其他超级用户批准才能修改客户端应用的范围或删除其对网域的授权。