すべてのユーザーに対するグローバルキーでの無効なアクセス

これは Api-User ではなく Api-Username であるべきです。

このヘッダーは「全ユーザー」用の API キーでのみ使用されるため、キーを特定のユーザーにスコープ設定していた場合は動作していました。