具有工作负载身份联合的 Gmail API

Question

我与第三方 (auth0) 提供商创建了一个工作负载身份池。我已使用域范围委派配置我的服务帐户，并启用了 GMAIL API。 我可以成功生成 STS 令牌，但在执行邮件客户端时出现错误。 以前使用服务帐户方法时，我曾经提供电子邮件作为主题来委派对服务帐户的访问权限。 由于我使用工作负载身份（以消除密钥），因此我收到错误“前提条件检查失败”。

Workload Identity 联合有哪些限制？ 如果我们为用于工作负载身份联合的服务帐户启用了域范围委派，我们可以访问用户数据（邮件/驱动器文件）吗？

我在此处附加片段：

 async function main2(){
     const authClient = google.auth.ExternalAccountClient.fromJSON(jsonConfig);


     authClient.scopes = ['https://www.googleapis.com/auth/gmail.readonly', 
           'https://www.googleapis.com/auth/cloud-platform'];

      const gmail = google.gmail({
         auth: authClient,
         version: 'v1'
       });

      const response = await gmail.users.getProfile({
          userId : '[email protected]'
          });

  console.log(response);
}

JSON 配置包含客户端库配置。 我正在使用 node.js 客户端库。

我的用例是从客户（主要是组织）获取这些配置来访问其用户的工作表、驱动器、电子邮件。