设置 API 访问权限

用户账号

以下是使用用户账号 凭据进行身份验证的步骤：

1. 为您的项目配置 Google Auth Platform 设置。

   1. 在 Google Cloud 控制台 中打开 “品牌”页面 。

   2. 选择您的项目。

   3. 填写表单，然后点击创建 。

2. 由于 Data Manager API 范围属于敏感范围，因此需要执行以下 步骤：

   1. 前往项目的“数据访问权限”设置。

   2. 点击添加或移除范围 。

   3. 在范围列表中，选中 Data Manager API 旁边的复选框，然后点击更新 。

   4. 点击保存 。

   5. 前往 Google Cloud Console 中的“受众群体”，然后更新“发布状态” 和“用户类型”。如需详细了解这些设置，请参阅 管理应用受众群体。

3. 点击创建 OAuth2 客户端 ，在项目中创建 OAuth2 客户端，或者按照 说明 创建 Desktop OAuth2 客户端。如果您已有要用于 Data Manager API 的 Desktop OAuth2 客户端，则可以跳过此步骤。

   如果您点击创建 OAuth2 客户端，请在系统提示配置 OAuth 客户端时选择Desktop 应用，以便您可以在剩余步骤中使用该客户端。

   创建 OAuth2 客户端

   在最后一步中，点击下载客户端配置 ，并记下您选择的下载位置。

4. 通过运行以下命令生成本地 ADC 文件。此命令会启动一个 Web 流程，系统会提示您登录您用于 API 的 Google 账号。

   将 PATH_TO_CLIENT_JSON 替换为您下载的 JSON 文件的名称。

   gcloud auth application-default login \
     --scopes="https://www.googleapis.com/auth/datamanager,https://www.googleapis.com/auth/cloud-platform" \
     --client-id-file="PATH_TO_CLIENT_JSON"
   

   如果您想对 Data Manager API 和 Google Ads API使用相同的凭据，请在 --scopes列表中添加 Google Ads API 范围：

   gcloud auth application-default login \
     --scopes="https://www.googleapis.com/auth/datamanager,https://www.googleapis.com/auth/adwords,https://www.googleapis.com/auth/cloud-platform" \
     --client-id-file="PATH_TO_CLIENT_JSON"
   

   如果您想对 Data Manager API 和 Display & Video 360 API使用相同的凭据，请在 --scopes列表中添加 Display & Video 360 API 范围：

   gcloud auth application-default login \
     --scopes="https://www.googleapis.com/auth/datamanager,https://www.googleapis.com/auth/display-video,https://www.googleapis.com/auth/cloud-platform" \
     --client-id-file="PATH_TO_CLIENT_JSON"
   

5. 使用以下命令确认凭据设置正确无误。 如果成功，该命令会将访问令牌输出到控制台。

   gcloud auth application-default print-access-token
   

服务账号

以下是使用服务账号模拟进行身份验证的步骤。这些步骤 使用模拟而非服务账号密钥，因为服务账号 密钥如果管理 不当，可能会带来安全风险。

1. 点击以下创建服务账号 按钮，或按照 说明选择或创建服务账号。

   创建服务账号

2. 向服务账号授予 Service Usage Consumer IAM 角色 (roles/serviceusage.serviceUsageConsumer)，该角色包含 serviceusage.services.use 权限，允许 服务账号为项目发送 API 请求。

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member="serviceAccount:SERVICE_ACCOUNT_EMAIL" \
     --role="roles/serviceusage.serviceUsageConsumer"
   

3. 向您的 Google 账号授予服务账号的 Service Account Token Creator IAM 角色 (roles/iam.serviceAccountTokenCreator)。

   gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
     --member="user:USER_EMAIL" \
     --role="roles/iam.serviceAccountTokenCreator"
   

4. 通过运行以下命令配置 ADC：

   gcloud auth application-default login \
     --impersonate-service-account=SERVICE_ACCOUNT_EMAIL \
     --scopes="https://www.googleapis.com/auth/datamanager,https://www.googleapis.com/auth/cloud-platform"
   

   如果您想对 Data Manager API 和 Google Ads API使用相同的凭据，请在 --scopes列表中添加 Google Ads API 范围：

   gcloud auth application-default login \
     --impersonate-service-account=SERVICE_ACCOUNT_EMAIL \
     --scopes="https://www.googleapis.com/auth/datamanager,https://www.googleapis.com/auth/adwords,https://www.googleapis.com/auth/cloud-platform"
   

   如果您想对 Data Manager API 和 Display & Video 360 API使用相同的凭据，请在 --scopes列表中添加 Display & Video 360 API 范围：

   gcloud auth application-default login \
     --impersonate-service-account=SERVICE_ACCOUNT_EMAIL \
     --scopes="https://www.googleapis.com/auth/datamanager,https://www.googleapis.com/auth/display-video,https://www.googleapis.com/auth/cloud-platform"
   

   系统提示您登录时，请以具有 Service Account Token Creator 角色的 Google 账号登录。

5. 使用以下命令确认凭据设置正确无误。如果成功，该命令会将访问令牌输出到控制台。

   gcloud auth application-default print-access-token --scopes="https://www.googleapis.com/auth/datamanager"
   

用户账号

选择与您的使用场景对应的标签页。

• 如果您要使用 Google 账号的凭据，而该账号是您要管理的广告客户账号中的用户，请选择广告客户。
• 如果您要使用 Google 账号的凭据，而该账号是数据合作伙伴账号中的用户，并且您要管理与该数据合作伙伴账号具有合作伙伴关联的广告客户账号，请选择数据合作伙伴。

服务账号

选择与您的使用场景对应的标签页。

• 如果您要使用 Google 账号的凭据，而该账号是您要管理的广告客户账号中的用户，请选择广告客户。
• 如果您要使用 Google 账号的凭据，而该账号是数据合作伙伴账号中的用户，并且您要管理与该数据合作伙伴账号具有合作伙伴关联的广告客户账号，请选择数据合作伙伴。