GAM项目v7.09.00版本发布：服务账户权限优化与功能增强

GAM（Google Workspace Administration Manager）是一款强大的命令行工具，专门用于管理Google Workspace（原G Suite）环境。它通过自动化操作简化了管理员日常任务，如用户管理、权限配置、文件操作等。最新发布的v7.09.00版本带来了一系列重要改进，特别是在服务账户权限管理和文件访问控制方面。

服务账户权限优化

本次更新最显著的变化是移除了服务账户中过于宽泛的IAM和访问管理API范围https://www.googleapis.com/auth/cloud-platform。这个范围原本是通过DWD（Domain Wide Delegation）方式授权的，但由于其权限范围过大，存在潜在的安全风险。

现在，当用户运行gam <UserTypeEntity> check|update serviceaccount命令时，如果检测到这个范围仍然启用，系统会显示错误消息提示用户更新服务账户授权。GAM中需要IAM访问权限的命令现在转而使用更有限的https://www.googleapis.com/auth/iam范围，并且采用非DWD方式实现，这显著提高了安全性。

文件访问控制增强

新版本在gam.cfg配置文件中新增了一个名为enforce_expansive_access的布尔变量，它为所有涉及删除或更新Drive文件ACL/权限的命令提供了enforceexpansiveaccess选项的默认值。这个功能的默认值为False，意味着系统不会强制执行广泛的访问权限。

这一变化影响了多个文件操作命令，包括：

• 删除权限命令
• 更新Drive文件ACL命令
• 文件复制和移动命令
• 所有权转移命令
• Drive转移命令

管理员现在可以通过配置文件全局控制这些操作的权限执行严格程度，而不必为每个命令单独设置。

问题修复与性能改进

本次更新还修复了一个在gam print shareddriveorganizers命令中的bug，该bug在组织者是已删除用户时会导致程序崩溃。此外，GAM的底层Python环境已升级至3.13.4版本，这带来了更好的性能和安全性。

技术意义与最佳实践

从技术架构角度看，这次更新体现了最小权限原则的实施。通过缩小服务账户的权限范围，GAM降低了潜在的安全风险，同时仍保持了完整的功能性。对于企业管理员而言，这意味着更安全的Google Workspace管理环境。

对于已经部署GAM的环境，建议管理员：

1. 尽快检查并更新服务账户授权
2. 评估新的enforce_expansive_access设置对现有工作流程的影响
3. 测试共享驱动器组织者打印功能，确保在包含已删除用户时仍能正常工作

这些改进使GAM在保持强大功能的同时，进一步提升了安全性和稳定性，为大规模Google Workspace管理提供了更可靠的解决方案。