powershell - Google Drive API - 具有域范围权限的服务帐户可以列出共享驱动器，但不能列出其内容

Question

注意:我没有使用云客户端库，而是通过 Powershell 和 HTTP 使用 Google Drive API，going against the guides recommendations .

---

我正在尝试让 Powershell 脚本使用 Google Drive API (v3) 进行简单的文件上传。我当前的 GCP 项目包括一个已被授予域范围权限的服务帐号，其范围如下:

• https://www.googleapis.com/auth/drive
• https://www.googleapis.com/auth/drive.file

按照“ Preparing to make an authorized API call ”指南，我成功创建了 JWT，使用所述 JWT 获取访问 token ，并使用所述访问 token 与 API 交互。我还确认该服务帐户能够成功“模拟”我们工作区中的用户帐户(使用上述指南的“其他声明”部分中的 sub 参数)。 p>

我面临的问题是关于权限的。我收到来自 GET https://www.googleapis.com/drive/v3/drives 的成功回复并可以查看模拟用户有权访问的共享驱动器。但是，我得到了 (403) Forbidden当请求列出这些共享云端硬盘之一的内容时；具体通过GET https://www.googleapis.com/drive/v3/files?driveId=<DRIVE_ID_HERE>?includeItemsFromAllDrives=true?supportsAllDrives=true?corpora=allDrives .

我的请求参数有问题吗？我很困惑为什么拥有共享云端硬盘内容管理器访问权限的用户能够列出共享云端硬盘而不是所述云端硬盘中的任何内容？

---

编辑 1:添加了 1) 构建 JWT 和访问 token 以及 2) Google Drive API 请求的代码段

JWT 和访问 token

$now = (Get-Date).ToUniversalTime()
$createDate = [Math]::Floor([decimal](Get-Date($now) -UFormat '%s'))
$expiryDate = [Math]::Floor([decimal](Get-Date($now.AddHours(1)) -UFormat '%s'))

$payload = [Ordered]@{
    iss = '<a href="https://stackoverflow.com/cdn-cgi/l/email-protection" class="__cf_email__" data-cfemail="dcafb9aeaab5bfb983bdbfbfb3a9b2a89ca4a5a6f1edeeeff2b5bdb1f2bbafb9aeaab5bfb9bdbfbfb3a9b2a8f2bfb3b1" rel="noreferrer noopener nofollow">[email protected]</a>'
    sub = '<a href="https://stackoverflow.com/cdn-cgi/l/email-protection" class="__cf_email__" data-cfemail="f697959599839882db83859384b6919b979f9ad895999b" rel="noreferrer noopener nofollow">[email protected]</a>'
    scope = 'https://www.googleapis.com/auth/drive https://www.googleapis.com/auth/drive.file'
    aud = 'https://oauth2.googleapis.com/token'
    iat = $createDate
    exp = $expiryDate
} | ConvertTo-Json

$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2("cert.pfx", 'pw')

# link to JWT module is in OP
$jwt = New-Jwt -PayloadJson $payload -Cert $cert -Verbose

$accessTokenResponse = Invoke-WebRequest 'https://oauth2.googleapis.com/token' `
    -UseBasicParsing `
    -Method 'POST' `
    -Headers @{'Content-Type' = 'application/x-www-form-urlencoded'} `
    -Body "grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer&assertion=$jwt" `
    -Verbose
$accessToken = ($accessTokenResponse.Content | ConvertFrom-Json).access_token

请求drives-list

$uploadResponse = Invoke-WebRequest 'https://www.googleapis.com/drive/v3/drives' `
    -UseBasicParsing `
    -Method 'GET' `
    -Headers @{'Authorization' = "Bearer $accessToken"'} `
    -Verbose

请求files-list

# Using driveId in the response from drives-list above
$uploadResponse = Invoke-WebRequest 'https://www.googleapis.com/drive/v3/files?driveId=<DRIVE_ID_HERE>?includeItemsFromAllDrives=true?supportsAllDrives=true?corpora=allDrives' `
    -UseBasicParsing `
    -Method 'GET' `
    -Headers @{'Authorization' = "Bearer $accessToken"'} `
    -Verbose

403我从文件列表请求返回的响应是:

PSMessageDetails      :
Exception             : System.Net.WebException: The remote server returned an error: (403) Forbidden.
                           at Microsoft.PowerShell.Commands.WebRequestPSCmdlet.GetResponse(WebRequest request)
                           at Microsoft.PowerShell.Commands.WebRequestPSCmdlet.ProcessRecord()
TargetObject          : System.Net.HttpWebRequest
CategoryInfo          : InvalidOperation: (System.Net.HttpWebRequest:HttpWebRequest) [Invoke-WebRequest], WebException
FullyQualifiedErrorId : WebCmdletWebResponseException,Microsoft.PowerShell.Commands.InvokeWebRequestCommand
ErrorDetails          :
InvocationInfo        : System.Management.Automation.InvocationInfo
ScriptStackTrace      : at <ScriptBlock>, C:\...\GDriveAPITest.ps1: line 80
                        at <ScriptBlock>, <No file>: line 1
PipelineIterationInfo : {}

---

编辑 2:添加代码片段以确定模拟是否有效

查看答案/评论后，我想确认模拟是否在我现有的代码中起作用。在上面编辑 1 的片段中，我在 sub 中传递要模拟的帐户。创建访问 token 期间的参数。文档 under Additional claims in the HTTP/REST guide 中概述了此步骤。 .

然后我做了一个 GET至about-get以确定模拟是否正在使用访问 token 。

请求 about-get

$uploadResponse = Invoke-WebRequest 'https://www.googleapis.com/drive/v3/about?fields=*' `
    -UseBasicParsing `
    -Method 'GET' `
    -Headers @{'Authorization' = "Bearer $accessToken"; 'Content-Type' = 'text/plain'} `
    -Verbose

来自 about-get 的响应(JSON 格式)

{
  "kind": "drive#about",
  "user": {
    "kind": "drive#user",
    "displayName": "Impersonated User",
    "photoLink": "https://lh3.googleusercontent.com/a/default-user=s64",
    "me": true,
    "permissionId": "<PERMISSION_ID_HERE>",
    "emailAddress": "<a href="https://stackoverflow.com/cdn-cgi/l/email-protection" class="__cf_email__" data-cfemail="e88185988d9a9b8786899c8d8cb79d9b8d9aa88f85898184c68b8785" rel="noreferrer noopener nofollow">[email protected]</a>"
  },
  "storageQuota": { ... },
  "importFormats": { ... },
  "exportFormats": { ... },
  "maxImportSizes": { ... },
  "maxUploadSize": "0000000000000",
  "appInstalled": false,
  "folderColorPalette": [ ... ],
  "teamDriveThemes": [ ... ],
  "driveThemes": [ ... ],
  "canCreateTeamDrives": true,
  "canCreateDrives": true
}

这是否证实我正在进行模拟？

被冒充的用户是 Content Manager在共享云端硬盘上，并且在组织/项目中启用了 Drive SDK。我尝试的下一个更新是确认 Drive API 端点所需的所有范围都已分配给服务帐户和 JWT token 。更新后将报告。

Answer 1

你配置了domain wide delegation吗？ ？即使模拟和一切可能都是正确的，如果没有域范围的委派，服务帐户也无法获得足够的权限，并且可能会显示此错误。

答案修改:该问题实际上与用户模拟有关，因为它在代码中没有正确执行。