问如何让一个服务帐户模拟另一个服务帐户？(Node.js)

EN

我通过将GOOGLE_APPLICATION_CREDENTIALS环境变量设置为我的App Engine服务帐户(例如example@appspot.gserviceaccount.com)的密钥的路径来进行身份验证。

如果日历直接共享到App Engine服务帐户，我可以这样做：

let googleCalendar = google.calendar({
  version: 'v3',
  auth: new google.auth.GoogleAuth({
    scopes: ['https://www.googleapis.com/auth/calendar'],
  })
});

但我希望用户与我拥有的另一个服务帐户google-calendar@example.iam.gserviceaccount.com共享他们的日历。因此，我希望App Engine服务帐户模拟google-calendar帐户。我尝试过这个(以及其他一些次要的变化)：

let googleCalendar = google.calendar({
  version: 'v3',
  auth: new google.auth.GoogleAuth({
    clientOptions: {
      subject: 'google-calendar@uniserval-app.iam.gserviceaccount.com'
    },
    scopes: ['https://www.googleapis.com/auth/calendar'],
  })
});

我得到一个401错误：Client is unauthorized to retrieve access tokens using this method, or client not authorized for any of the scopes requested.

我尝试使我的App Engine服务帐户成为google-calendar服务帐户的成员，并授予它各种角色，如Service Account User和Service Account Token Creator -但没有任何变化。

我怀疑代码是正确的，我只是没有配置正确的角色...但在这一点上，我已经搜索了两天的时间，我找不到任何关于如何做到这一点的文档。