此页面由 Cloud Translation API 翻译。

授权错误

在授权过程中，Google OAuth 可能会返回错误。您可以根据本指南在此过程中排查最常见的错误。

问题排查

如需详细了解 Google OAuth，请参阅使用 OAuth 2.0 访问 Google API。

刷新令牌不断过期

如果客户端 ID 未获批准是其中一个可能的原因，则刷新令牌可能会在 7 天后停止工作。令牌的 7 天有效期与商业审批或沙盒审批无关。服务或用户帐号需要使其 OAuth 2.0 客户端 ID 获得批准并投入生产环境，才能延长令牌的有效期。如需了解详情，请参阅刷新令牌到期时间。

访问遭拒

如果您已在 Google Cloud 中设置了 OAuth 同意屏幕，并且用户类型为外部，那么当您尝试与未列为应用测试用户的 Google 帐号关联时，您将收到“Access denied”错误。请务必将该 Google 帐号添加到 OAuth 同意屏幕的测试用户部分。

合作伙伴连接管理器 (PCM) 错误

如需有关访问 PCM 时遇到的任何错误的帮助，请参阅合作伙伴连接管理器 (PCM) 错误参考。

此应用未经 Google 验证

SDM API 使用受限范围，这意味着，除非完成 OAuth API 验证，否则在授权期间使用此范围的任何应用都将“未经验证”。将 Device Access 用于个人用途时，无需进行 OAuth API 验证。

在授权过程中，您可能会看到“Google 尚未验证此应用”屏幕。如果未在 Google Cloud 的 OAuth 同意屏幕上配置 sdm.service 范围，系统就会显示该屏幕。如需绕过此屏幕，请点击 Advanced 选项，然后点击 Go to Project Name (unsafe)。

如需了解详情，请参阅“未验证的应用”屏幕。

客户无效

尝试获取访问权限或刷新令牌时，如果提供的 OAuth 2.0 客户端密钥不正确，则会收到“客户端无效”错误。确保您在访问令牌和刷新令牌调用中使用的 client_secret 值就是所使用的 OAuth 2.0 客户端 ID（可在 Google Cloud 凭据页面中找到）的值。

请求无效，缺少所需的范围

在 PCM 中授予权限后，您可能会遇到“缺少必需参数：范围”的“请求无效”错误。确保您在授权调用中使用的 scope 值与您为 OAuth 2.0 客户端设置的值相同，可以在 Google Cloud 凭据页面中找到。

重定向 URI 不匹配

在授权过程中，您可能会遇到“重定向 uri 不匹配”错误。确保您在授权调用中使用的 redirect_uri 值与您为 OAuth 2.0 客户端设置的值相同（可以在 Google Cloud 凭据页面中找到）。

快速参考

使用此参考文档可快速执行授权user 并关联其 Google 帐号的步骤。

如需使用此快速参考，请使用特定集成的值修改代码示例中的每个占位符变量，并根据需要进行复制和粘贴：

1 个 PCM

将 user 定向到应用中的 PCM 链接，替换：

使用您的 Device Access Project 身份证件project-id
将 oauth2-client-id 替换为您的 Google Cloud 凭据中的 OAuth2 客户端 ID
将 redirect-uri 替换为您正在使用的 OAuth2 客户端 ID 指定的重定向 URI
将 scope 替换为您的可用范围之一

https://nestservices.google.com/partnerconnections/project-id/auth?redirect_uri=redirect-uri&access_type=offline&prompt=consent&client_id=oauth2-client-id&response_type=code&scope=https://www.googleapis.com/auth/scope

2 授权码

通过 PCM 为所选范围授予权限后，系统应该会将 user 重定向到您指定的重定向 URI。授权代码以 code 参数的形式返回在网址中，应采用以下格式：

redirect-uri?code=authorization-code&scope=https://www.googleapis.com/auth/scope

3 访问令牌

使用授权代码检索可用于代表用户调用 SDM API 的访问令牌。

对 Google 的 OAuth 端点发出 POST 调用，并替换以下内容：

将 oauth2-client-id 和 oauth2-client-secret 替换为 Google Cloud 凭据中的 OAuth2 客户端 ID 和客户端密钥
将 authorization-code 替换为您在上一步中收到的代码
将 redirect-uri 替换为您正在使用的 OAuth2 客户端 ID 指定的重定向 URI

Google OAuth 返回两个令牌：一个访问令牌和一个刷新令牌。

请求

curl -L -X POST 'https://www.googleapis.com/oauth2/v4/token?client_id=oauth2-client-id&client_secret=oauth2-client-secret&code=authorization-code&grant_type=authorization_code&redirect_uri=redirect-uri'

响应

{
  "access_token": "access-token",
  "expires_in": 3599,
  "refresh_token": "refresh-token",
  "scope": "https://www.googleapis.com/auth/scope",
  "token_type": "Bearer"
}

4 API 调用

只有在您使用 user的访问令牌进行 API 调用后，授权才会完成。此初始调用会完成授权流程并启用事件。

您必须使用针对指定范围列出的其中一个 API 调用来完成授权。

sdm.service

设备

如需了解详情，请参阅 devices.list API 参考文档。

curl -X GET 'https://smartdevicemanagement.googleapis.com/v1/enterprises/project-id/devices' \
    -H 'Content-Type: application/json' \
    -H 'Authorization: Bearer access-token'

5 刷新令牌

正如 Google OAuth 返回的 expires_in 参数中所述，SDM API 的访问令牌仅在 1 小时内有效。如果您的访问令牌已过期，请使用刷新令牌来获取新的访问令牌。

对 Google 的 OAuth 端点发出 POST 调用，并替换以下内容：

将 oauth2-client-id 和 oauth2-client-secret 替换为 Google Cloud 凭据中的 OAuth2 客户端 ID 和客户端密钥
将 refresh-token 替换为最初获取访问令牌时收到的代码。

Google OAuth 会返回一个新的访问令牌。

请求

curl -L -X POST 'https://www.googleapis.com/oauth2/v4/token?client_id=oauth2-client-id&client_secret=oauth2-client-secret&refresh_token=refresh-token&grant_type=refresh_token'

响应

{
  "access_token": "new-access-token",
  "expires_in": 3599,
  "scope": "https://www.googleapis.com/auth/scope",
  "token_type": "Bearer"
}