设置 API 访问权限

用户账号

以下是使用用户账号 凭据进行身份验证的步骤：

1. 为您的项目配置 Google Auth Platform 设置。

   1. 打开 Google Cloud 控制台中的 “品牌”页面 。

   2. 选择您的项目。

   3. 填写表单，然后点击创建 。

2. 由于 Data Manager API 使用 敏感范围，因此需要执行以下步骤：

   1. 前往项目的“数据访问权限”设置。

   2. 点击添加或移除范围 。

   3. 在范围列表中，找到 Data Manager API ，然后勾选您的应用所需的每个范围对应的复选框：

      • .../auth/datamanager：选择此范围以进行标准 API 操作，例如管理客户数据、受众群体和事件。这是本指南中使用的主要范围。

      • .../auth/datamanager.partnerlink：仅当您是数据合作伙伴，并且要在广告客户账号中创建或删除 合作伙伴关联时，才选择此范围。

   4. 点击更新 。

   5. 点击保存 。

   6. 前往 受众群体 在 Google Cloud 控制台中，然后为初始开发配置设置：

      • 将发布状态 设置为测试 。
      • 将用户类型 设置为内部 （如果您的项目位于 Google Workspace 组织中）或外部 （如果不是）。
      • 如果使用外部，请将用于 生成凭据的 Google 账号添加为测试用户。

      如需详细了解这些设置，请参阅 管理应用受众群体。

3. 点击创建 OAuth2 客户端 以在项目中创建 OAuth2 客户端，或按照 说明 创建 Desktop OAuth2 客户端。如果您已有要用于 Data Manager API 的 Desktop OAuth2 客户端，则可以跳过此步骤。

   如果您点击创建 OAuth2 客户端，请在系统提示配置 OAuth 客户端时选择桌面应用，以便在剩余步骤中使用该客户端。

   创建 OAuth2 客户端

   在最后一步中，点击下载客户端配置 ，并记下您选择的下载位置。

4. 运行以下命令以生成本地 ADC 文件。此命令会启动一个网络流程，系统会提示您登录与 API 一起使用的 Google 账号。

   将 PATH_TO_CLIENT_JSON 替换为您下载的 JSON 文件的名称。

   gcloud auth application-default login \
     --scopes="https://www.googleapis.com/auth/datamanager,https://www.googleapis.com/auth/cloud-platform" \
     --client-id-file="PATH_TO_CLIENT_JSON"
   

   如果您想为 Data Manager API 和 Google Ads API使用相同的凭据，请在 --scopes列表中添加 Google Ads API 范围：

   gcloud auth application-default login \
     --scopes="https://www.googleapis.com/auth/datamanager,https://www.googleapis.com/auth/adwords,https://www.googleapis.com/auth/cloud-platform" \
     --client-id-file="PATH_TO_CLIENT_JSON"
   

   如果您想为 Data Manager API 和 Display & Video 360 API使用相同的凭据，请在 --scopes列表中添加 Display & Video 360 API 范围：

   gcloud auth application-default login \
     --scopes="https://www.googleapis.com/auth/datamanager,https://www.googleapis.com/auth/display-video,https://www.googleapis.com/auth/cloud-platform" \
     --client-id-file="PATH_TO_CLIENT_JSON"
   

5. 使用以下命令确认凭据设置正确无误。 如果成功，此命令会将访问令牌输出到控制台。

   gcloud auth application-default print-access-token
   

服务账号

以下是在本地开发环境中创建服务账号并使用服务账号 模拟进行身份验证的步骤。这些步骤使用模拟而不是服务 账号密钥，因为如果管理不当，服务账号密钥可能会带来安全风险。

1. 点击以下创建服务账号 按钮，或按照 说明选择或创建服务账号。

   创建服务账号

2. 为服务账号授予 Service Usage Consumer IAM 角色 (roles/serviceusage.serviceUsageConsumer)，其中包括 serviceusage.services.use 权限，该权限允许 服务账号为项目发送 API 请求。

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member="serviceAccount:SERVICE_ACCOUNT_EMAIL" \
     --role="roles/serviceusage.serviceUsageConsumer"
   

3. 为您的 Google 账号授予服务账号的 Service Account Token Creator IAM 角色 (roles/iam.serviceAccountTokenCreator)。

   gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
     --member="user:USER_EMAIL" \
     --role="roles/iam.serviceAccountTokenCreator"
   

4. 通过运行以下命令来配置 ADC：

   gcloud auth application-default login \
     --impersonate-service-account=SERVICE_ACCOUNT_EMAIL \
     --scopes="https://www.googleapis.com/auth/datamanager,https://www.googleapis.com/auth/cloud-platform"
   

   如果您想为 Data Manager API 和 Google Ads API使用相同的凭据，请在 --scopes列表中添加 Google Ads API 范围：

   gcloud auth application-default login \
     --impersonate-service-account=SERVICE_ACCOUNT_EMAIL \
     --scopes="https://www.googleapis.com/auth/datamanager,https://www.googleapis.com/auth/adwords,https://www.googleapis.com/auth/cloud-platform"
   

   如果您想为 Data Manager API 和 Display & Video 360 API使用相同的凭据，请在 --scopes列表中添加 Display & Video 360 API 范围：

   gcloud auth application-default login \
     --impersonate-service-account=SERVICE_ACCOUNT_EMAIL \
     --scopes="https://www.googleapis.com/auth/datamanager,https://www.googleapis.com/auth/display-video,https://www.googleapis.com/auth/cloud-platform"
   

   系统提示您登录时，请以具有 Service Account Token Creator 角色的 Google 账号登录。

5. 使用以下命令确认凭据设置正确无误。如果成功，此命令会将访问令牌输出到控制台。

   gcloud auth application-default print-access-token --scopes="https://www.googleapis.com/auth/datamanager"
   

用户账号

选择与您的使用场景对应的标签页。

• 如果您要管理的广告客户账号中的用户使用 Google 账号的凭据，请选择广告客户。
• 如果您要管理的数据合作伙伴账号中的用户使用 Google 账号的凭据，并且您要管理与该数据合作伙伴账号有合作伙伴 关联的广告客户账号，请选择数据合作伙伴。数据合作伙伴账号只有在经过审批流程后才会发放。 如需开始使用，请填写 意向调查表。

服务账号

选择与您的使用场景对应的标签页。

• 如果您要管理的广告客户账号中的用户使用 Google 账号的凭据，请选择广告客户。
• 如果您要管理的数据合作伙伴账号中的用户使用 Google 账号的凭据，并且您要管理与该数据合作伙伴账号有合作伙伴 关联的广告客户账号，请选择数据合作伙伴。数据合作伙伴账号只有在经过审批流程后才会发放。 如需开始使用，请填写 意向调查表。