API-Zugriff auf einer Workstation authentifizieren und einrichten

In diesem Dokument wird beschrieben, wie Sie sich auf einer Workstation authentifizieren und den API-Zugriff einrichten. Dazu gehört auch, wie Sie sich über die Workstations-Benutzeroberfläche anmelden, um die gcloud-Befehlszeile zu authentifizieren und Anmeldedaten für Standardanmeldedaten für Anwendungen (Application Default Credentials, ADC) bereitzustellen.

Mit der Google Cloud CLI als Nutzer authentifizieren

Nachdem Sie Cloud Workstations gestartet haben, können Sie mit Ihren Nutzerkonten über die gcloud-Befehlszeile auf Google Cloud -Dienste und die API zugreifen.

Wählen Sie eine der folgenden Optionen aus, um die gcloud-Befehlszeile zu authentifizieren und Nutzeranmeldedaten für Standardanmeldedaten für Anwendungen (Application Default Credentials, ADC) bereitzustellen:

Nutzeranmeldung über die Workstations-Benutzeroberfläche

Wenn Sie sich über die Google Cloud Console anmelden, wird diegcloud-Befehlszeile automatisch authentifiziert und Ihre Nutzeranmeldedaten werden den Standardanmeldedaten für Anwendungen (Application Default Credentials, ADC) in Ihrer Workstation-Umgebung zur Verfügung gestellt.

UI-Anmeldung für Ihre Workstation-Ressourcen aktivieren

Bevor Sie diese Funktion verwenden können, müssen Sie dafür sorgen, dass sowohl Ihre Workstation-Konfiguration als auch Ihr Cluster für die Unterstützung der UI-Anmeldung eingerichtet sind:

  1. Rufen Sie in der Google Cloud Console den Abschnitt Umgebungseinstellungen Ihrer Workstation-Konfiguration auf. Wählen Sie unter Authentifizierung das Kästchen Push-Anmeldedaten aktivieren aus oder legen Sie enable_pushing_credentials: true in der API fest.
  2. Legen Sie die Basis-URL der Console im Cluster mit der gcloud-Befehlszeile auf den Endpunkt Ihrer Google Cloud Console fest (z. B. https://console.cloud.google.com/): 
    gcloud beta workstations clusters update CLUSTER_NAME \
    --region=REGION \
    --console-base-url="https://console.cloud.google.com/"

Über Ihre Workstation anmelden

So melden Sie sich an und authentifizieren Ihre Workstation:

  1. Klicken Sie im Editor „Code OSS for Cloud Workstations“ auf In Workstation anmelden. Ein Anmeldefenster für die Google Cloud Console wird geöffnet.
  2. Prüfen Sie in der Google Cloud Konsole die Details Ihrer Workstation (z. B. die Workstation-ID) und die Kontodetails und klicken Sie dann auf Weiter.
  3. Klicken Sie auf Bestätigen, um die Anmeldung abzuschließen.
  4. Wenn die Bestätigungsmeldung angezeigt wird, schließen Sie das Browserfenster und kehren Sie zum Editor zurück. Ihre Anmeldedaten sind jetzt für die gcloud-Befehlszeile und die Standardanmeldedaten für Anwendungen (Application Default Credentials, ADC) in Ihrer Workstation-Umgebung verfügbar.

Ihre Anmeldesitzung läuft nach einer Stunde ab. Wenn Ihre Sitzung bald abläuft, wird auf dem Anmeldebutton im Code OSS for Cloud Workstations-Editor EMAIL (Google) – läuft bald ab (wobei EMAIL Ihre E-Mail-Adresse ist) oder Workstation-Anmeldung läuft bald ab angezeigt. Klicken Sie auf die Schaltfläche und folgen Sie der Anleitung in der Google Cloud Console, um Ihre Anmeldedaten zu aktualisieren.

Mit der gcloud-Befehlszeile anmelden

Wenn die Anmeldung über die Benutzeroberfläche für Ihre Konfiguration oder Ihren Cluster nicht aktiviert ist, können Sie sich manuell über die gcloud-Befehlszeile in einem Terminal auf Ihrer Workstation anmelden:

  1. Öffnen Sie ein Terminal auf der Workstation. Wie Sie ein Terminalfenster öffnen, hängt von der verwendeten IDE ab. Wenn Sie beispielsweise den Basis-Editor von Cloud Workstations verwenden, öffnen Sie ein Terminal, indem Sie Terminal > Neues Terminal auswählen oder Strg + Umschalttaste +` drücken.
  2. Authentifizieren Sie sich mit dem folgenden Befehl: 
    gcloud auth login --no-launch-browser
  3. Folgen Sie der Anleitung des Befehls, um sich bei Google Cloudzu authentifizieren.
  4. Geben Sie Ihre Projekt-ID von Google Cloud mit dem folgenden Befehl an: 
    gcloud config set project PROJECT_ID
  5. Aktivieren Sie die Standardanmeldedaten für Anwendungen, damit Sie Google Cloud -Dienste aufrufen können. 
    gcloud auth application-default login
  6. Ihre gcloud-CLI-Anmeldedaten sind jetzt gespeichert und verfügbar, wenn Sie Ihre Workstation in zukünftigen Sitzungen verwenden.

HTTP-Anfrage an eine Workstation senden

Wenn Sie eine HTTP-Anfrage an eine Workstation senden möchten, benötigen Sie ein Zugriffstoken für ein Konto, das die Rolle Cloud Workstations-Nutzer für diese Workstation hat:

  1. Generieren Sie ein Zugriffstoken mit der API-Methode generateAccessToken.
  2. Fügen Sie einen HTTP-Header mit dem Namen Authorization und dem Wert Bearer $TOKEN hinzu.

Verbindung zur Workstation im Browser herstellen

Wenn Sie die URL Ihrer Workstation in Ihrem Browser öffnen, werden Sie automatisch über eine Weiterleitung zum Workstations-Server authentifiziert und ein Zugriffstoken wird abgerufen, das von der API-Methode generateAccessToken generiert wurde. Dadurch werden Sie zurück zu Ihrer Workstation weitergeleitet und es wird ein Authentifizierungs-Cookie festgelegt, das für Ihre aktuelle Workstation-Sitzung gültig ist.

Wenn Sie diese Weiterleitung überspringen möchten, verwenden Sie den URL-Parameter _workstationAccessToken:

  1. Generieren Sie ein Zugriffstoken mit der API-Methode generateAccessToken.
  2. Öffnen Sie die URL Ihrer Workstation im Browser und hängen Sie einen URL-Parameter im folgenden Format an: _workstationAccessToken=TOKEN.

Dadurch wird ein Authentifizierungs-Cookie in Ihrem Browser festgelegt, das den Zugriff für Ihre aktuelle Workstation-Sitzung ermöglicht. Das Überspringen der Weiterleitung kann hilfreich sein, wenn der Zugriff auf den Workstation-Server durch Netzwerkrichtlinien blockiert wird oder wenn iFrames verwendet werden, um die Workstation auf anderen Websites anzuzeigen.

Identitätswechsel des Dienstkontos

Wenn die Sicherheitsrichtlinien Ihrer Organisation verhindern, dass Nutzerkonten die erforderlichen Berechtigungen haben, können Sie auch die Identität eines Dienstkontos übernehmen. Wenn Sie die Identität des in Ihrer Workstation-Konfiguration angegebenen Dienstkontos übernehmen möchten, können Sie das Feld Dienstkontobereiche angeben. 

        gcloud workstations configs create CONFIG \
            --cluster=CLUSTER \
            --region=REGION \
            --project=PROJECT \
            --service-account=SERVICE_ACCOUNT \
            --service-account-scopes=https://www.googleapis.com/auth/cloud-platform
Wenn angegeben, müssen Nutzer von Workstations mit dieser Konfiguration die Berechtigung iam.serviceAccounts.actAs für das Dienstkonto haben. Weitere Informationen zum Festlegen von Bereichen für das Dienstkonto finden Sie unter Zugriffsbereiche.

Nächste Schritte