创建应用程序脚本服务帐户以访问云端硬盘、工作表和文档

Question

我和这篇文章的OP有类似的情况： User access request when GAS run as the user

我需要以“活跃用户”身份运行 web 应用程序，允许该用户访问云端硬盘、文档和表格资源，但不允许用户直接访问它们。

但是，我对这个问题的了解要少得多。

据我了解，我需要创建一个服务帐户，以便以“活动用户”身份运行的脚本可以访问活动用户无权访问的驱动器、工作表和文档资源。

我也在查看其他资源以及 Google 的文档，但有点不知所措。

谁能解释一下这方面的基础知识？ 也许真正没有经验的用户可以理解的教程（或此类链接）？ 我只需要在正确的方向上开始。

先感谢您！

Answer 1

使用 App Script 模拟用户

应该可以生成密钥并开始模拟过程并调用范围和 API。

function getJWT(sub) {
  var header = { "alg": "RS256", "typ": "JWT" }
  var encodedheader = Utilities.base64EncodeWebSafe(JSON.stringify(header))
  var key = "-----BEGIN PRIVATE KEY----- fjsklfjl;sdjfasd -----END PRIVATE KEY-----\n"

  var time = Math.floor(new Date().getTime() / 1000)

  


  var claim = {
    "iss": "yourserviceaccount@mail-p-any.iam.gserviceaccount.com",
    "scope": "https://mail.google.com/",
    "aud": "https://oauth2.googleapis.com/token",
    "iat": time,
    "exp": time + 3600,
    "sub": sub[0]
  }


  var encodedclaim = Utilities.base64EncodeWebSafe(JSON.stringify(claim))

  var input = encodedheader + "." + encodedclaim

  var signed = Utilities.computeRsaSha256Signature(input, key)

  var base64signed = Utilities.base64Encode(signed)

  var jwt = encodedheader + "." + encodedclaim + "." + base64signed

  return jwt


}

function getAccessToken(user) {
  var payload = {
    "grant_type": "urn:ietf:params:oauth:grant-type:jwt-bearer",
    "assertion": getJWT(user)
  }
  var params = {
    "method": "POST",
    "contentType": "application/x-www-form-urlencoded",
    "payload": payload,
    "muteHttpExceptions": true
  }
  var response = UrlFetchApp.fetch("https://oauth2.googleapis.com/token", params)

  var output = JSON.parse(response.getContentText())
  console.log(output.access_token)
  return output.access_token
}

您还可以查看库和分步过程，了解如何从此处以另一种方式实现它：

• https://github.com/googleworkspace/apps-script-oauth2

我的代码示例基于以下示例脚本：

• https://developers.google.com/identity/protocols/oauth2/service-account#delegatingauthority

您还可以从下面的参考资料中查看其他示例代码。

通过这种方式，您可以模拟用户并代表您组织的用户运行或拨打电话，而无需访问它。 这可能是您开始思考如何开始的地方。

参考

• https://cloud.google.com/iam/docs/impersonating-service-accounts

• https://github.com/googleworkspace/apps-script-oauth2/blob/main/samples/GoogleServiceAccount.gs

Answer 2

为了那些与我在这个主题上处于相同水平并且处于类似情况的人的利益，我得到了这个工作。 有不对的请大家指正或指正，谢谢。

• 您不能在以“活动用户”身份运行的相同代码中使用这些方法访问云端硬盘、文档和表格。

• 您必须使用等效的 HTTP 访问这些 Google 服务
  API 次方法调用。

• HTTP API 调用需要一个与资源交互的用户（因为它是从 inte.net 公开调用的，而不是
  从剧本）。

• 您为此创建一个服务帐户。 这充当调用的用户。

当我从 Apps Script 调用 API 时，我从 Ricardo Jose Velasquez Cruz 的回复开始，并找到了其他资源。 https://medium.com/geekculture/how-to-use-service-accounts-and-oauth2-in-google-apps-script-99c4bc91dc31

请注意，Apps 脚本需要一个 OAUTH2 库才能连接，不确定为什么这不是 GAS 本身内置的： https://github.com/googleworkspace/apps-script-oauth2

如何创建服务帐号并使用它访问Google Drive（您也使用相同的代码访问Docs和Sheet，您只需要使用相应的URL和服务参数）： https://www.labnol。组织/代码/20375-service-accounts-google-apps-script

它与我在此处找到的另一篇文章的代码基本相同： Google 服务帐户 / API - 我一直收到错误：访问未被授予或已过期。 （第 454 行，文件“服务”）

希望这可以帮助：）