서비스 계정 및 위임 권한을 사용하여 Google API를 호출 할 때 현재 사용자로 가장

Question

marketplace requirement Google Apps for Work 도메인 관리자가 자신의 도메인에 대해 Google 앱을 설치하면 관리자와 도메인의 모든 사용자가 이후에 볼 수 없게됩니다 앱에 액세스 할 때 범위 인증 화면 도메인에 앱을 설치하는 행위는 앱과 관련된 서비스 계정에 대한 도메인 전체 권한을 암시 적으로 위임해야합니다.

이 동작을 달성하기 위해 나는 delegation of authority to a service account을 대신하여 일을 시도하고 있습니다. 일명 가장로, 현재 로그인 한 사용자입니다.

아래의 코드 스 니펫은이 기능을 사용하기 위해 시도한 다양한 시도를 보여줍니다. 작동하는 유일한 방법은 JWT를 만들 때 도메인 수퍼 유저의 전자 메일 주소를 "하위"매개 변수 (일명 prn)로 전달하는 것입니다. 그러나이 기능은 본질적으로 제재소 도메인 사용자의 특권을 정기적으로 실행하여 원하는 효과가 아닌 수퍼 유저 권한으로 향상시킵니다.

var client = new googleapis.auth.JWT(
    '<serviceaccount>@developer.gserviceaccount.com', 
    'localhost.pem', 
    null, 
    ["https://www.googleapis.com/auth/admin.directory.user.readonly"], 
    // null - // 403 not auth 
    // {'userId' : 'domainsuperuser@email.com'} // 403 not auth 
    // {'userId' : 'me'} // 403 not auth 
    // "domainsuperuser@email.com" // works! 
    // "{domainsuperuser@email.com}" // not a valid email error 
    // 'me' // invalid impersonation prn email address 
); 

구글은 특별한 '나'값으로 당신이 가장 원하는 사람의 단지 이메일 주소가 아닌 다른 ID를 존중 하는가?

우리는 여기서 닭고기와 달걀 문제를 겪고있는 것처럼 느껴집니다. 기본적으로 전자 메일 주소 (특히 관리자 전자 메일이 아님)를 하드 코딩하지 않으므로 API 호출을해야하는 것처럼 느껴집니다. 하지만 사용자를 가장하지 않고 API 호출을 할 수는 없습니다.

Answer 1

이 경우 서비스 계정과 도메인 위임을 사용할 필요가 없습니다. 대신 사용자와 정상적인 OAuth2 흐름을 따라 가면 승인 화면이 자동으로 건너 뜁니다.

관리자가 앱을 설치하고 범위를 승인하면 도메인의 모든 사용자에 대해 해당 범위에 대한 액세스가 본질적으로 자동으로 부여됩니다. 또한 사용자가 승인 화면을 보지 못하도록하는 요구 사항이지만 OAuth2 토큰을 얻기 위해서는 여전히 OAuth2 플로우를 거쳐야합니다. 사용자의 OAuth2 흐름을 실행하고 도메인 관리자가 아직 승인하지 않은 범위를 요청하지 않고 URL에 approval_prompt=force을 설정하지 않으면 OAuth2 승인 화면이 즉시 리디렉션 URI로 리디렉션되어 프로세스를 만듭니다 사용자에게는 보이지 않습니다.