设置 API 访问权限

以下介绍了如何使用 SDK 或 REST 设置对 Data Manager API 的访问权限。

前提条件

  1. 您希望拥有该项目的 Google Cloud 项目或 Google 账号。

    • 如果您没有项目，下一部分中的设置流程会为您创建一个项目。

    • 如果您已有项目，请确保您的 Google 账号具有可在该项目中启用 API 的角色，例如 Owner、Editor 或 Service Usage Admin。如需查看您的角色，请在 Google Cloud 控制台中打开 IAM 页面，选择您的项目，然后在列表中找到您的 Google 账号。

      如需了解详情，请参阅查看当前访问权限。

  2. 安装 Google Cloud CLI。

启用 API

如果您尚未在 Google Cloud 项目中启用 Data Manager API，请点击启用 Data Manager API，或按照说明手动执行此步骤。

启用 Data Manager API

如果您找不到 Data Manager API 或启用 Data Manager API 失败，请验证您的 Google 账号是否满足前提条件。

设置身份验证

除了 API 密钥之外，您还可以使用 Google 的任何身份验证方法。我们建议您查看如何为您的应用场景选择合适的身份验证方法，以确定哪种方法适合您的应用场景。

两种常见的身份验证方法是用户账号和服务账号：

  • 用户账号：代表直接与 Google API 和服务进行交互的人员。
  • 服务账号：代表应用（而非个人）作为用户。它们可让您的应用管理身份验证和授权。例如，如果应用需要访问 Google Cloud 资源。

您的集成可以使用应用默认凭证 (ADC) 自动从环境中查找凭证，这样您就无需更改客户端代码即可进行身份验证。

选择用户账号或服务账号以设置 ADC：

用户账号

以下是使用用户账号凭据进行身份验证的步骤：

  1. 为您的项目配置 Google Auth Platform 设置。

    1. 在 Google Cloud 控制台中打开“品牌信息”页面。

    2. 选择您的项目。

    3. 填写表单，然后点击创建。

  2. 由于 Data Manager API 使用敏感范围，因此需要执行以下步骤：

    1. 前往项目的数据访问设置。

    2. 点击添加或移除范围。

    3. 在范围列表中，找到 Data Manager API，然后勾选应用所需的每个范围对应的复选框：

      • .../auth/datamanager：为标准 API 操作（例如管理客户数据、受众群体和事件）选择此范围。这是本指南中使用的主要范围。

      • .../auth/datamanager.partnerlink：仅当您是数据合作伙伴，需要在广告客户账号中创建或删除合作伙伴链接时，才选择此范围。

    4. 点击更新。

    5. 点击保存。

    6. 在 Google Cloud 控制台中，前往受众群体，然后配置初始开发设置：

      • 将发布状态设置为测试。
      • 将用户类型设置为内部（如果您的项目位于 Google Workspace 组织中）或外部（如果您的项目不在 Google Workspace 组织中）。
      • 如果使用外部，请将您用于生成凭据的 Google 账号添加为测试用户。

      如需详细了解这些设置，请参阅管理应用受众群体。

  3. 点击创建 OAuth2 客户端，在项目中创建 OAuth2 客户端，或按照说明创建桌面 OAuth2 客户端。如果您已有要用于 Data Manager API 的桌面 OAuth2 客户端，则可以跳过此步骤。

    如果您点击创建 OAuth2 客户端，请在系统提示配置 OAuth 客户端时选择桌面应用，以便在其余步骤中使用该客户端。

    创建 OAuth2 客户端

    在最后一步中，点击下载客户端配置，并记下您选择的下载位置。

  4. 运行以下命令，生成本地 ADC 文件。此命令会启动一个网页流程，提示您登录与该 API 搭配使用的 Google 账号。

    将 PATH_TO_CLIENT_JSON 替换为您下载的 JSON 文件的名称。

    gcloud auth application-default login \
  --scopes="https://www.googleapis.com/auth/datamanager,https://www.googleapis.com/auth/cloud-platform" \
  --client-id-file="PATH_TO_CLIENT_JSON"

    如果您想对 Data Manager API 和 Google Ads API 使用相同的凭证，请在 --scopes 列表中添加 Google Ads API 范围：

    gcloud auth application-default login \
  --scopes="https://www.googleapis.com/auth/datamanager,https://www.googleapis.com/auth/adwords,https://www.googleapis.com/auth/cloud-platform" \
  --client-id-file="PATH_TO_CLIENT_JSON"

    如果您想对 Data Manager API 和 Display & Video 360 API 使用相同的凭证，请在 --scopes 列表中添加 Display & Video 360 API 范围：

    gcloud auth application-default login \
  --scopes="https://www.googleapis.com/auth/datamanager,https://www.googleapis.com/auth/display-video,https://www.googleapis.com/auth/cloud-platform" \
  --client-id-file="PATH_TO_CLIENT_JSON"

  5. 使用以下命令确认凭证设置正确。 如果成功，该命令会将访问令牌输出到控制台。

    gcloud auth application-default print-access-token

服务账号

以下是在本地开发环境中创建服务账号并使用服务账号模拟进行身份验证的步骤。这些步骤使用模拟而不是服务账号密钥，因为如果未谨慎管理，服务账号密钥可能会带来安全风险。

  1. 点击以下创建服务账号按钮，或按照说明选择或创建服务账号。

    创建服务账号

  2. 向服务账号授予 Service Usage Consumer IAM 角色 (roles/serviceusage.serviceUsageConsumer)，该角色包含 serviceusage.services.use 权限，允许服务账号为项目发送 API 请求。

    gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="serviceAccount:SERVICE_ACCOUNT_EMAIL" \
  --role="roles/serviceusage.serviceUsageConsumer"

  3. 为您的 Google 账号授予服务账号的 Service Account Token Creator IAM 角色 (roles/iam.serviceAccountTokenCreator)。

    gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
  --member="user:USER_EMAIL" \
  --role="roles/iam.serviceAccountTokenCreator"

  4. 通过运行以下命令来配置 ADC：

    gcloud auth application-default login \
  --impersonate-service-account=SERVICE_ACCOUNT_EMAIL \
  --scopes="https://www.googleapis.com/auth/datamanager,https://www.googleapis.com/auth/cloud-platform"

    如果您想对 Data Manager API 和 Google Ads API 使用相同的凭证，请在 --scopes 列表中添加 Google Ads API 范围：

    gcloud auth application-default login \
  --impersonate-service-account=SERVICE_ACCOUNT_EMAIL \
  --scopes="https://www.googleapis.com/auth/datamanager,https://www.googleapis.com/auth/adwords,https://www.googleapis.com/auth/cloud-platform"

    如果您想对 Data Manager API 和 Display & Video 360 API 使用相同的凭证，请在 --scopes 列表中添加 Display & Video 360 API 范围：

    gcloud auth application-default login \
  --impersonate-service-account=SERVICE_ACCOUNT_EMAIL \
  --scopes="https://www.googleapis.com/auth/datamanager,https://www.googleapis.com/auth/display-video,https://www.googleapis.com/auth/cloud-platform"

    当系统提示您登录时，请以具有 Service Account Token Creator 角色的 Google 账号登录。

  5. 使用以下命令确认凭证设置正确。如果成功，该命令会将访问令牌输出到控制台。

    gcloud auth application-default print-access-token --scopes="https://www.googleapis.com/auth/datamanager"

如需详细了解应用的身份验证和凭证，请参阅 Google 的身份验证方法和应用默认凭证的工作原理。

设置账号访问权限

用户账号

选择与您的应用场景对应的标签页。

  • 如果您使用的 Google 账号凭据属于您要管理的广告客户账号中的用户，请选择广告客户。
  • 如果您使用的是 Google 账号的凭据，该账号是数据合作伙伴账号中的用户，并且您想管理与该数据合作伙伴账号有合作伙伴关联的广告客户账号，请选择数据合作伙伴。只有在通过审批流程后，系统才会发放数据合作伙伴账号。如需开始使用，请填写意向调查表。

广告客户

向与用户关联的电子邮件地址授予对 Destination 的访问权限。

按照说明将用户的邮箱添加到 Google Ads 账号或父级 Google Ads 经理账号。

Display & Video 360

按照说明将用户的邮箱添加到账号中。

Google Analytics

按照说明将用户的邮箱添加到账号中。

数据合作伙伴

向与该用户关联的电子邮件地址授予对您的数据合作伙伴账号的访问权限。通常，数据合作伙伴会使用服务账号进行 API 访问。 不过，如果您出于测试或其他目的使用用户账号，则必须向您的用户账号授予对数据合作伙伴账号的访问权限。

按照这些说明，通过 Google Ads 界面将用户的电子邮件地址添加到数据合作伙伴账号。

服务账号

选择与您的应用场景对应的标签页。

  • 如果您使用的 Google 账号凭据属于您要管理的广告客户账号中的用户，请选择广告客户。
  • 如果您使用的是 Google 账号的凭据，该账号是数据合作伙伴账号中的用户，并且您想管理与该数据合作伙伴账号有合作伙伴关联的广告客户账号，请选择数据合作伙伴。只有在通过审批流程后，系统才会发放数据合作伙伴账号。如需开始使用，请填写意向调查表。

广告客户

向与您的服务账号关联的邮箱授予对 Destination 的访问权限。

完成账号访问权限设置，将服务账号添加到 Google Ads 账号或父级 Google Ads 经理账号。

Display & Video 360

按照说明创建与服务账号关联的 Display & Video 360 用户。

Google Analytics

按照说明将服务账号的电子邮件地址添加到该账号。

数据合作伙伴

向与您的服务账号关联的电子邮件地址授予对数据合作伙伴账号的访问权限。

数据合作伙伴账号访问权限通过 Google Ads 界面进行管理。如需添加服务账号并设置其访问权限级别，请按照账号访问权限设置中的步骤操作。

后续步骤

下一页
安装客户端库