为组织创建多个 Google Apps 脚本的最佳方式是什么？

Question

我将多个 Google Apps 脚本部署为库并添加到 Google 表格中。

当我与其他用户共享这些工作表时，问题就开始了。 为了让他们看到用户菜单加载，我需要让他们编辑访问我的库脚本。仅查看访问权限是不够的。然后我从他们那里收到以下错误消息“异常：尚未为您的 Apps 脚本管理的云平台项目启用 Service Admin SDK API”

而且我知道我正在使用函数 AdminDirectory.Members.insert(...); 我不想在 GSuite 中为他们添加 API 权限。

以下 oauthScopes 正在使用中：

“oauthScopes”：[
"https://www.googleapis.com/auth/drive",
"https://www.googleapis.com/auth/spreadsheets",
"https://www.googleapis.com/auth/documents",
"https://www.googleapis.com/auth/script.send_mail",
"https://www.googleapis.com/auth/script.external_request",
"https://www.googleapis.com/auth/userinfo.email",
“https://www.googleapis.com/auth/admin.directory.group.member”
]

我正在寻找一种解决方案来创建这些脚本，以便我能够将它们添加到我的 Google 表格中，其中用户菜单可以从脚本加载并由用户调用。库/附加组件中的所有脚本代码（例如：GSuite 创建新用户/将用户添加到组/打开、编辑文档/打开、编辑工作表）都应该通过我的凭证运行，而不是通过他们的凭证运行。用户不应该能够查看/编辑库/附加脚本的代码。

他们应该能够看到和编辑的唯一代码是工作表脚本文件中的小 onOpen 脚本。他们必须有权访问脚本库/附加组件，但只能运行它，从中调用函数。他们不应该能够阅读和编辑库/附加脚本代码。他们在电子表格中的代码非常小。只是一个 onOpen 触发器，它将从脚本加载菜单并访问可以从菜单调用的主要功能。这些将是公共职能。其余的都是私人的。

Sheet 中的脚本

名为“脚本”的库


这就是我的脚本在表格中加载菜单并通过它调用函数的方式。

Answer 1

问题：

如果我正确理解您的情况：

• 您有一个编辑器插件，您希望通过它执行访问 Admin SDK 的功能（通过 custom menu）。
• 您希望域中没有权限访问 Admin SDK 的用户能够执行这些功能。
• 您是域管理员，可以访问所需的 Admin SDK 服务。

您不会通过将代码放入库中来实现这一点，因为无法“委托”执行库函数：库函数将在执行菜单函数的用户的权限下运行。

解决办法：

在这种情况下，我建议以下替代方案：

1. 创建service account。
2. 按照this guide 授予服务帐户域范围的委派，以便它可以用来模拟您域中的任何帐户：在这种情况下，是您的帐户。
3. 导入并使用库 OAuth2 for Apps Script 以便在您的 Apps 脚本项目中使用服务帐户。
4. 使用UrlFetchApp 调用所需的API，使用服务帐户的访问令牌。

代码示例：

例如，如果您想调用 Directory API 的 users.get 以从当前执行此操作的用户那里检索数据，您可以执行以下操作：

function getService() {
  const service = OAuth2.createService("Service account")
                    .setTokenUrl('https://accounts.google.com/o/oauth2/token')
                    .setPrivateKey(SERVICE_ACCOUNT_PRIVATE_KEY)
                    .setIssuer(SERVICE_ACCOUNT_EMAIL)
                    .setSubject(IMPERSONATED_EMAIL)
                    .setPropertyStore(PropertiesService.getScriptProperties())
                    .setParam('access_type', 'offline')
                    .setScope('https://www.googleapis.com/auth/admin.directory.user')
  return service;
}

function getActiveUserData() {
  const service = getService();
  if (service.hasAccess()) {
    const userKey = Session.getActiveUser();
    const url = `https://admin.googleapis.com/admin/directory/v1/users/${userKey}`;
    const options = {
      headers: {
        'Authorization': "Bearer " + service.getAccessToken(),
        'Content-Type': 'application/json'
      },
      muteHttpExceptions: true
    }
    const resp = UrlFetchApp.fetch(url, options);
    const userData = JSON.parse(resp.getContentText());
    return userData;
  }
}