มอบหมายบทบาทผู้ดูแลระบบที่กำหนดเองสำหรับฟีเจอร์ของ Classroom

ผู้ดูแลระบบสามารถสร้างบทบาทผู้ดูแลระบบที่กำหนดเอง ในคอนโซลผู้ดูแลระบบเพื่ออนุญาตให้บุคคลหรือกลุ่มบางรายที่มี ใบอนุญาต Education Plus ดำเนินการต่อไปนี้ได้

• ดูข้อมูลวิเคราะห์ของ Classroom เพื่อทำความเข้าใจข้อมูล เช่น การทำงานเสร็จ แนวโน้มคะแนน และ การใช้ Classroom

• เข้าถึงชั้นเรียนใน Classroom ชั่วคราว เพื่อสนับสนุนนักการศึกษา โพสต์ประกาศ และอื่นๆ โดยไม่ต้องได้รับการกำหนดให้เป็น ครูร่วมสอนแบบถาวร

คู่มือนี้อธิบายวิธีตั้งค่าฟีเจอร์เหล่านี้ในโดเมนของคุณโดยใช้ Google API

**คำเตือน:** มีเพียงผู้ดูแลระบบขั้นสูงเท่านั้นที่ดำเนินการตามที่อธิบายไว้ในคู่มือนี้ได้

ทำให้กระบวนการมอบหมายบทบาทที่กำหนดเองเป็นแบบอัตโนมัติ

วิธีทำให้กระบวนการมอบหมายบทบาทที่กำหนดเองเป็นแบบอัตโนมัติ

1. สร้างกลุ่มความปลอดภัยเพื่อจัดระเบียบผู้ใช้ที่มีสิทธิ์เข้าถึงฟีเจอร์เหล่านี้
2. เพิ่มสมาชิกในกลุ่ม
3. สร้างบทบาทของผู้ดูแลระบบที่กำหนดเองโดยเลือกสิทธิ์ที่ถูกต้อง
4. ดึงข้อมูลรหัสหน่วยขององค์กร
5. ใช้บทบาทของผู้ดูแลระบบที่กำหนดเองกับกลุ่มที่สร้างขึ้นใหม่

ข้อกำหนดเบื้องต้น

1. อ่านคู่มือการเริ่มต้นใช้งานอย่างรวดเร็วเพื่อทำความเข้าใจวิธีตั้งค่าและเรียกใช้ แอปพลิเคชันโดยใช้ Google API ในภาษาต่างๆ เช่น JavaScript, Python และ Java
2. อ่านภาพรวมของ Groups API
3. คุณต้องตั้งค่า Cloud Identityก่อนจึงจะใช้ Cloud Identity API ใดๆ ที่อธิบายไว้ในคู่มือนี้ได้ โดย API เหล่านี้ใช้เพื่อสร้างกลุ่มเพื่อมอบหมายสิทธิ์ของผู้ดูแลระบบ
4. ตั้งค่า Groups API

สร้างกลุ่มความปลอดภัย

สำคัญ: หากต้องการให้สิทธิ์เข้าถึงฟีเจอร์เหล่านี้แก่ผู้ใช้แต่ละราย ให้ข้ามไปยังขั้นตอนสร้างบทบาทของผู้ดูแลระบบที่กำหนดเอง

สร้างกลุ่มความปลอดภัยด้วยเมธอด groups.create คุณสามารถตั้งค่ากลุ่มเป็นกลุ่มความปลอดภัยได้เมื่อรวมป้ายกำกับความปลอดภัยไว้ในช่อง labels ของคำขอ ดูข้อมูลเพิ่มเติมและ ข้อจำกัดในการสร้างกลุ่มความปลอดภัยได้ที่ คู่มือการสร้างกลุ่มความปลอดภัย

POST https://cloudidentity.googleapis.com/v1/groups

หรือคุณจะรวมInitialGroupConfig พารามิเตอร์การค้นหาเพื่อเริ่มต้นเจ้าของกลุ่มก็ได้

POST https://cloudidentity.googleapis.com/v1/groups&initialGroupConfig={initialGroupConfig}

บัญชีที่ส่งคำขอนี้ต้องมีขอบเขตใดขอบเขตหนึ่งต่อไปนี้

• https://www.googleapis.com/auth/cloud-identity.groups
• https://www.googleapis.com/auth/cloud-identity
• https://www.googleapis.com/auth/cloud-platform

เนื้อความของคำขอ

เนื้อความของคำขอมีรายละเอียดของกลุ่มที่จะสร้าง customerId ต้องขึ้นต้นด้วย "C" (เช่น C046psxkn) ค้นหารหัสลูกค้า

{
   parent: "customers/<customer-id>",
   description: "This is the leadership group of school A.",
   displayName: "Leadership School A",
   groupKey: {
      id: "[e-mail]"
   },
   labels: {
      "cloudidentity.googleapis.com/groups.security": "",
      "cloudidentity.googleapis.com/groups.discussion_forum": ""
   }
}

การตอบกลับ

การตอบกลับจะมีอินสแตนซ์ใหม่ของทรัพยากร Operation

{
   done: true,
   response: {
      @type: "type.googleapis.com/google.apps.cloudidentity.groups.v1.Group",
      name: "groups/<group-id>", // unique group ID
      groupKey: {
         id: "[e-mail]" // group email address
      },
      parent: "customers/<customer-id>",
      displayName: "Leadership School A",
      description: "This is the leadership group of school A.",
      createTime: "<created time>",
      updateTime: "<updated time>",
      labels: {
         "cloudidentity.googleapis.com/groups.security": "",
         "cloudidentity.googleapis.com/groups.discussion_forum": ""
      }
   }
}

เพิ่มสมาชิกกลุ่ม

เมื่อสร้างกลุ่มแล้ว ขั้นตอนถัดไปคือการเพิ่มสมาชิก สมาชิกกลุ่มอาจเป็นผู้ใช้หรือกลุ่มความปลอดภัยอื่น หากคุณเพิ่มกลุ่มเป็นสมาชิกของกลุ่มอื่น ระบบอาจใช้เวลาถึง 10 นาทีในการเผยแพร่การเป็นสมาชิก นอกจากนี้ API จะแสดงข้อผิดพลาดสำหรับวงจรในการเป็นสมาชิกกลุ่ม เช่น หาก group1 เป็นสมาชิกของ group2 แล้ว group2 จะเป็นสมาชิกของ group1 ไม่ได้

หากต้องการเพิ่มสมาชิกในกลุ่ม ให้ใช้คำขอ POST ต่อไปนี้

Directory API members.insert

POST https://admin.googleapis.com/admin/directory/v1/groups/{groupKey}/members

พารามิเตอร์เส้นทาง groupKey คืออีเมลกลุ่มของสมาชิกใหม่ หรือรหัสที่ไม่ซ้ำกันของกลุ่ม

บัญชีที่ส่งคำขอ POST ต้องมีขอบเขตใดขอบเขตหนึ่งต่อไปนี้

• https://apps-apis.google.com/a/feeds/groups/
• https://www.googleapis.com/auth/admin.directory.group
• https://www.googleapis.com/auth/admin.directory.group.member

เนื้อความของคำขอ

เนื้อความของคำขอมีรายละเอียดของ member ที่จะสร้าง

{
   email: "[e-mail]",
   role: "MEMBER", // can be `MEMBER`, `OWNER`, `MANAGER`
}

การตอบกลับ

การตอบกลับจะมีอินสแตนซ์ใหม่ของสมาชิก

{
   kind: "admin#directory#member",
   etag: "<etag-value>", // role's unique ETag
   id: "4567", // group member's unique ID
   email: "[e-mail]",
   role: "MEMBER",
   type: "GROUP",
   status: "ACTIVE"
}

คุณต้องส่งคำขอนี้สำหรับผู้ใช้ทุกคนที่ต้องการเพิ่มเป็นสมาชิก คุณสามารถส่งคำขอเหล่านี้แบบกลุ่มเพื่อลดจำนวน การเชื่อมต่อ HTTP ที่ไคลเอ็นต์ต้องสร้าง

สร้างบทบาทของผู้ดูแลระบบที่กำหนดเองที่มีสิทธิ์

Directory API ช่วยให้คุณใช้การควบคุมการเข้าถึงตามบทบาท (RBAC) เพื่อจัดการการเข้าถึงฟีเจอร์ในโดเมน Google Workspace ได้ คุณสามารถสร้างบทบาทที่กำหนดเองที่มีสิทธิ์เพื่อจำกัดการเข้าถึงของผู้ดูแลระบบให้เฉพาะเจาะจงมากขึ้นกว่าบทบาทที่สร้างไว้ล่วงหน้าซึ่งมาพร้อมกับ Google Workspace โดยคุณสามารถมอบหมายบทบาทให้กับผู้ใช้หรือกลุ่มความปลอดภัยได้ ดูข้อมูลโดยละเอียดเพิ่มเติมเกี่ยวกับข้อจำกัดในการสร้างบทบาทได้ที่ข้อจำกัดของบทบาทที่กำหนดเองและการมอบหมายบทบาท

หากต้องการสร้างบทบาทใหม่ ให้ใช้คำขอ POST ต่อไปนี้

Directory API roles.insert

POST https://admin.googleapis.com/admin/directory/v1/customer/{customer}/roles

customerId จะเหมือนกับที่ใช้ใน ขั้นตอนที่ 1 ของคู่มือนี้

บัญชีที่ส่งคำขอ POST ต้องมีขอบเขตต่อไปนี้

• https://www.googleapis.com/auth/admin.directory.rolemanagement

เนื้อความของคำขอ

เนื้อความของคำขอมีรายละเอียดของ role ที่จะสร้าง เพิ่ม privilegeName และ serviceId สำหรับสิทธิ์แต่ละรายการที่ควรได้รับมอบหมายด้วยบทบาทนี้

ข้อมูลวิเคราะห์ของ Classroom

คุณต้องมีสิทธิ์ EDU_ANALYTICS_DATA_ACCESS จึงจะสร้างบทบาทที่กำหนดเองซึ่งเข้าถึงข้อมูลวิเคราะห์ได้ รวมถึงตั้งค่า serviceId เป็น 019c6y1840fzfkt

{
   roleName: "Education Admin", // customize as needed
   roleDescription: "Access to view analytics data", // customize as needed
   rolePrivileges: [
      {
         privilegeName: "EDU_ANALYTICS_DATA_ACCESS",
         serviceId: "019c6y1840fzfkt"
      }
   ]
}

การเข้าถึงชั้นเรียนชั่วคราว

คุณต้องมีสิทธิ์ ADMIN_OVERSIGHT_MANAGE_CLASSES จึงจะสร้างบทบาทที่กำหนดเองซึ่งเข้าถึงชั้นเรียนชั่วคราวได้ รวมถึงตั้งค่า serviceId เป็น 019c6y1840fzfkt

{
   roleName: "Education Admin", // customize as needed
   roleDescription: "Access to manage classes privilege", // customize as needed
   rolePrivileges: [
      {
         privilegeName: "ADMIN_OVERSIGHT_MANAGE_CLASSES",
         serviceId: "019c6y1840fzfkt"
      }
   ]
}

เรียกใช้เมธอด privileges.list เพื่อดึงข้อมูลรายการ privilegeIds และ serviceIds

การตอบกลับ

การตอบกลับจะมีอินสแตนซ์ใหม่ของบทบาท

ข้อมูลวิเคราะห์ของ Classroom

{
   kind: "admin#directory#role",
   etag: "<etag-value>",  // role's unique ETag
   roleId: "<role-id>",   // role's unique ID
   roleName: "Education Admin",
   roleDescription: "Access to view analytics data",
   rolePrivileges: [
      {
         privilegeName: "EDU_ANALYTICS_DATA_ACCESS",
         serviceId: "019c6y1840fzfkt"
      }
   ],
   isSystemRole: false,
   isSuperAdminRole: false
}

การเข้าถึงชั้นเรียนชั่วคราว

{
   kind: "admin#directory#role",
   etag: "<etag-value>",  // role's unique ETag
   roleId: "<role-id>",   // role's unique ID
   roleName: "Education Admin",
   roleDescription: "Access to manage classes privilege",
   rolePrivileges: [
      {
         privilegeName: "ADMIN_OVERSIGHT_MANAGE_CLASSES",
         serviceId: "019c6y1840fzfkt"
      }
   ],
   isSystemRole: false,
   isSuperAdminRole: false
}

ดึงข้อมูลรหัสหน่วยขององค์กร

คุณสามารถจำกัดการเข้าถึงของบทบาทของผู้ดูแลระบบที่กำหนดเองให้เข้าถึงหน่วยขององค์กรอย่างน้อย 1 หน่วยได้โดยใช้รหัสหน่วยขององค์กร ใช้ OrgUnit API เพื่อดึงข้อมูล orgUnitId

ข้อมูลวิเคราะห์ของ Classroom

เราขอแนะนำให้คุณเลือกหน่วยขององค์กรของนักเรียน และหน่วยขององค์กรของครูเมื่อมอบหมายบทบาทผู้ดูแลระบบที่กำหนดเองให้กับผู้ใช้หรือกลุ่มที่เฉพาะเจาะจง การดำเนินการดังกล่าวจะช่วยให้ผู้ใช้ที่ได้รับมอบหมายสิทธิ์ผู้ดูแลระบบที่กำหนดเองเข้าถึงข้อมูลระดับนักเรียนและระดับชั้นเรียนสำหรับหน่วยขององค์กรได้ หากไม่เลือกหน่วยขององค์กรของนักเรียนนักศึกษา ผู้ใช้ที่ได้รับมอบหมายจะเข้าถึงข้อมูลของนักเรียนนักศึกษาไม่ได้ หากไม่เลือกหน่วยขององค์กรของครู ผู้ใช้ที่ได้รับมอบหมายจะเข้าถึงข้อมูลระดับชั้นเรียนไม่ได้

การเข้าถึงชั้นเรียนชั่วคราว

คุณสามารถจำกัดสิทธิ์เข้าถึงชั้นเรียนชั่วคราวได้โดยอนุญาตให้ผู้ใช้ที่มีบทบาทผู้ดูแลระบบที่กำหนดเองเข้าถึงชั้นเรียนในหน่วยขององค์กรที่เฉพาะเจาะจง หากจำกัดการเข้าถึงหน่วยขององค์กร กลุ่มที่ได้รับมอบหมายบทบาทผู้ดูแลระบบที่กำหนดเองจะเข้าถึงได้เฉพาะชั้นเรียนที่มีครูผู้สอนหลักอยู่ในหน่วยขององค์กรนั้นๆ

มอบหมายบทบาทของผู้ดูแลระบบที่กำหนดเอง

หากต้องการมอบหมายบทบาทของผู้ดูแลระบบที่กำหนดเองให้กับกลุ่ม ให้ใช้คำขอ POST ต่อไปนี้ ดูขีดจำกัดการมอบหมายบทบาทได้ที่ คำแนะนำเกี่ยวกับข้อจำกัดของบทบาทที่กำหนดเองและการมอบหมายบทบาท

Directory API roleAssignments.insert

POST https://admin.googleapis.com/admin/directory/v1/customer/{customer}/roleassignments

หมายเหตุ: คุณสามารถใช้นามแฝง my_customer กับปลายทางนี้เพื่อแสดง ของบัญชีcustomerId นอกจากนี้ ระบบยังแสดง customerId เป็นส่วนหนึ่งของ users resource ด้วย คุณต้องระบุพารามิเตอร์ลูกค้าหรือโดเมน

มอบหมายให้กับกลุ่มหรือผู้ใช้แต่ละราย

หากต้องการมอบหมายสิทธิ์ให้กับกลุ่ม ให้ใส่ groupId ในช่อง assignedTo ในเนื้อความของคำขอ คุณจะได้รับ groupId ในขั้นตอน สร้างกลุ่มความปลอดภัย หากต้องการมอบหมายสิทธิ์ให้กับผู้ใช้แต่ละราย ให้ใส่รหัสของผู้ใช้ในช่อง assignedTo ในเนื้อความของคำขอ คุณสามารถดึงข้อมูลรหัสของผู้ใช้ได้โดยเรียกใช้ users.get และระบุอีเมลของผู้ใช้ เป็นพารามิเตอร์ userKey หรือโดยเรียกใช้ users.list

บัญชีที่ส่งคำขอ POST ต้องมีขอบเขตต่อไปนี้

• https://www.googleapis.com/auth/admin.directory.rolemanagement

เนื้อความของคำขอ

เนื้อความของคำขอมีรายละเอียดของ RoleAssignment ที่จะสร้าง คุณต้องส่งคำขอ 1 รายการต่อหน่วยขององค์กรที่ต้องการเชื่อมโยงกับกลุ่มนี้

{
   roleId: "<role-id>",        // role's unique ID obtained from Step 3
   assignedTo: "<id>",         // group ID or user ID
   scopeType: "ORG_UNIT",      // can be `ORG_UNIT` or `CUSTOMER`
   orgUnitId: "<org-unit-id>"  // organizational unit ID referenced in Step 4
}

การตอบกลับ

การตอบกลับจะมีอินสแตนซ์ใหม่ของ RoleAssignment

{
   kind: "admin#directory#roleAssignment",
   etag: "<etag-value>",
   roleAssignmentId: "<role-assignment-id>",
   roleId: "<role-id>",
   assignedTo: "<group-id or user-id>",
   assigneeType: "GROUP",
   scopeType: "ORG_UNIT",
   orgUnitId: "<org-unit-id>"
}

แหล่งข้อมูล

ดูข้อมูลเพิ่มเติมได้ที่

• ภาพรวมของ Directory API
• การตรวจสอบสิทธิ์และการให้สิทธิ์เฉพาะของ Directory API
• เอกสารประกอบ REST ของ Directory API
• การสนับสนุนนักพัฒนาแอป Admin SDK API