使用来自 ScriptService 的 Id Token 对 IAP（身份感知代理）进行 API 调用

Question

我正在制作一个插件（Google 日历的侧边栏插件），该插件需要调用托管在 Google IAP（身份识别代理）后面的 API。 IAP 需要 openid 令牌，id 令牌需要从 Google 的 OAuth2 服务by using the audience parameter 授予。我可以通过包含this oauth2 library 来完成这项工作，但是用户必须登录两次。首先是插件，其次是 IAP 服务。由于两次登录都是 Google 的，并且使用相同的用户，因此他们似乎只需要登录一次。 apps 脚本中的 ScriptApp 服务有一个函数 getIdentityToken()，但该令牌不适用于 IAP，因为它在生成令牌时没有使用受众参数。有谁知道使用从 ScriptApp 派生的令牌调用 IAP 的方法，以便用户不必登录两次？如果不直接访问刷新令牌，我自己将无法使用观众参数创建 id 令牌。

Answer 1

目前这是不可能的。作为用户，您必须经历两个不同的 OAuth 身份验证流程才能在您的应用程序中使用 IAP。

正如您正确描述的，这是由于插件当前身份验证流程（不允许您包含“audience”参数）以及无法从当前会话中检索刷新令牌。

如果您有兴趣将您的 IAP 作为插件身份验证流程的一部分，我建议您向 Google 的公共问题跟踪器 (https://issuetracker.google.com/issues) 提交功能请求。