作为Google域管理员获取Coursework资源时遭遇权限错误求助

作为域管理员，你能获取课程列表但拿不到作业的核心原因是：域管理员默认没有跨课堂读取所有作业的权限。课程列表属于域级别的可查看资源，但作业是课堂内的敏感内容，只有课堂的创建者、授课教师或被授权的用户才能直接访问，域管理员身份本身不自动具备这个权限。要解决这个问题，你需要配置域范围授权（Domain-Wide Delegation），并通过服务账号模拟课堂内有权限的用户来调用API。

具体步骤和注意事项： #

1. 启用Classroom API并配置权限范围
   首先确保你的Google Cloud项目已经启用了Classroom API，然后在Google Admin控制台中，给你的服务账号授权以下权限范围（根据需求选最小权限）：

   • https://www.googleapis.com/auth/classroom.coursework.students.readonly：只读访问学生的作业（适合你的场景）
   • https://www.googleapis.com/auth/classroom.coursework.students：读写访问学生作业（如果需要修改的话）

2. 使用服务账号模拟用户身份
   你不能直接用域管理员账号调用Classroom.Courses.Coursework.list()，必须通过服务账号模拟该课堂的授课教师或创建者身份。这里需要用到Google Apps Script的OAuth2库来实现域范围授权。

   举个简化的脚本示例：

   // 替换为你的服务账号信息
   const CLIENT_EMAIL = 'your-service-account@your-project.iam.gserviceaccount.com';
   const PRIVATE_KEY = '-----BEGIN PRIVATE KEY-----\n你的私钥内容\n-----END PRIVATE KEY-----\n';
   
   function listAllCoursework() {
     // 先获取所有课程列表
     const courses = Classroom.Courses.list({courseStates: 'ACTIVE'}).courses;
     if (!courses) return;
   
     // 遍历每个课程，模拟对应教师获取作业
     courses.forEach(course => {
       const teacherEmail = course.ownerId; // 取课程所有者邮箱
       const coursework = getCourseworkAsTeacher(course.id, teacherEmail);
       Logger.log(`课程 ${course.name} 的作业：${JSON.stringify(coursework)}`);
     });
   }
   
   function getCourseworkAsTeacher(courseId, teacherEmail) {
     const service = getOAuthService(teacherEmail);
     if (service.hasAccess()) {
       const url = `https://classroom.googleapis.com/v1/courses/${courseId}/courseWork`;
       const response = UrlFetchApp.fetch(url, {
         headers: { Authorization: `Bearer ${service.getAccessToken()}` }
       });
       return JSON.parse(response.getContentText());
     } else {
       throw new Error(`授权失败：${service.getLastError()}`);
     }
   }
   
   function getOAuthService(subjectEmail) {
     return OAuth2.createService(`Classroom-${subjectEmail}`)
       .setTokenUrl('https://oauth2.googleapis.com/token')
       .setPrivateKey(PRIVATE_KEY)
       .setIssuer(CLIENT_EMAIL)
       .setSubject(subjectEmail) // 关键：模拟的用户邮箱
       .setPropertyStore(PropertiesService.getScriptProperties())
       .setScope('https://www.googleapis.com/auth/classroom.coursework.students.readonly');
   }
   

3. 注意事项

   • 服务账号需要在Google Admin控制台中被授予域范围授权的权限，否则会出现权限错误。
   • 尽量使用readonly的权限范围，遵循最小权限原则，避免不必要的风险。
   • 如果某个课程有多个教师，你可以选择模拟其中任意一个有权限的用户即可。

简单来说，域管理员不是没有权限，而是需要通过"模拟课堂内合法用户"的方式，加上正确的API授权，才能获取所有课堂的作业内容。

内容的提问来源于stack exchange，提问作者Duane