S'authentifier et configurer l'accès à l'API dans une station de travail

Ce document explique comment s'authentifier et configurer l'accès aux API dans une station de travail, y compris comment se connecter à l'aide de l'interface utilisateur de Workstations pour authentifier la CLI gcloud et fournir des identifiants aux identifiants par défaut de l'application (ADC).

S'authentifier en tant qu'utilisateur avec Google Cloud CLI

Après avoir lancé Cloud Workstations, vous pouvez accéder aux services Google Cloud et à l'API à l'aide de vos comptes utilisateur via la CLI gcloud.

Pour authentifier la CLI gcloud et fournir des identifiants utilisateur aux identifiants par défaut de l'application (ADC), choisissez l'une des options suivantes :

Connexion de l'utilisateur avec l'UI Workstations

La connexion via la console Google Cloud authentifie automatiquement la CLIgcloud et fournit vos identifiants utilisateur aux identifiants par défaut de l'application (ADC) dans votre environnement de station de travail.

Activer la connexion à l'interface utilisateur sur vos ressources de station de travail

Avant de pouvoir utiliser cette fonctionnalité, assurez-vous que la configuration de votre poste de travail et votre cluster sont configurés pour prendre en charge la connexion à l'interface utilisateur :

  1. Dans la console Google Cloud , accédez à la section Paramètres d'environnement de la configuration de votre station de travail. Sous Authentification, cochez la case Activer l'envoi des identifiants (ou définissez enable_pushing_credentials: true dans l'API).
  2. Définissez l'URL de base de la console sur le cluster sur votre point de terminaison de la console Google Cloud (par exemple, https://console.cloud.google.com/) à l'aide de la CLI gcloud : 
    gcloud beta workstations clusters update CLUSTER_NAME \
    --region=REGION \
    --console-base-url="https://console.cloud.google.com/"

Se connecter depuis votre station de travail

Pour vous connecter et authentifier votre poste de travail :

  1. Dans l'éditeur Code OSS pour Cloud Workstations, cliquez sur Se connecter à votre station de travail. Une fenêtre de connexion à la console Google Cloud s'ouvre.
  2. Dans la console Google Cloud , vérifiez les détails de votre station de travail (comme l'ID de la station de travail) et les détails de votre compte, puis cliquez sur Continuer.
  3. Cliquez sur Confirmer pour finaliser la connexion.
  4. Une fois le message de confirmation affiché, fermez la fenêtre du navigateur et revenez à votre éditeur. Vos identifiants sont désormais disponibles pour la CLI gcloud et les identifiants par défaut de l'application (ADC) dans votre environnement de station de travail.

Votre session de connexion expire au bout d'une heure. Lorsque votre session est sur le point d'expirer, le bouton de connexion de l'éditeur Code OSS pour Cloud Workstations affiche EMAIL (Google) - Expire bientôt (où EMAIL est votre adresse e-mail) ou La connexion à la station de travail expire bientôt. Pour actualiser vos identifiants, cliquez sur le bouton et suivez les instructions de la console Google Cloud .

Se connecter avec la CLI gcloud

Si la connexion à l'interface utilisateur n'est pas activée pour votre configuration ou votre cluster, vous pouvez vous connecter manuellement à l'aide de la CLI gcloud depuis un terminal de votre poste de travail :

  1. Ouvrez un terminal dans votre poste de travail. La façon dont vous ouvrez une fenêtre de terminal dépend de l'IDE que vous utilisez. Par exemple, si vous utilisez l'éditeur de base Cloud Workstations, ouvrez un terminal en sélectionnant Terminal > Nouveau terminal ou en appuyant sur Ctrl+Maj+`.
  2. Authentifiez-vous à l'aide de la commande suivante : 
    gcloud auth login --no-launch-browser
  3. Suivez les instructions fournies par la commande pour vous authentifier auprès de Google Cloud.
  4. Spécifiez l'ID de votre projet Google Cloud à l'aide de la commande suivante : 
    gcloud config set project PROJECT_ID
  5. Activez les identifiants par défaut de l'application pour pouvoir appeler les services Google Cloud . 
    gcloud auth application-default login
  6. Vos identifiants de CLI gcloud sont désormais enregistrés et disponibles lorsque vous utiliserez votre station de travail lors de sessions ultérieures.

Émettre une requête HTTP vers une station de travail

Pour envoyer une requête HTTP à une station de travail, vous avez besoin d'un jeton d'accès pour un compte disposant du rôle Utilisateur Cloud Workstations sur cette station de travail :

  1. Générez un jeton d'accès à l'aide de la méthode d'API generateAccessToken.
  2. Ajoutez un en-tête HTTP nommé Authorization avec la valeur Bearer $TOKEN.

Se connecter à la station de travail dans votre navigateur

L'ouverture de l'URL de votre station de travail dans votre navigateur s'authentifie automatiquement via une redirection vers le serveur de stations de travail et récupère un jeton d'accès généré par la méthode d'API generateAccessToken. Vous êtes alors redirigé vers votre station de travail, et un cookie d'authentification valide pour votre session de station de travail actuelle est défini.

Pour ignorer cette redirection, utilisez le paramètre d'URL _workstationAccessToken :

  1. Générez un jeton d'accès à l'aide de la méthode d'API generateAccessToken.
  2. Ouvrez l'URL de votre station de travail dans le navigateur et ajoutez un paramètre d'URL au format suivant : _workstationAccessToken=TOKEN.

Cette opération définit un cookie d'authentification dans votre navigateur qui permet d'accéder à votre session de station de travail actuelle. Ignorer la redirection peut être utile lorsque l'accès au serveur de la station de travail est bloqué par des règles de réseau, ou lorsque vous utilisez des iFrames pour afficher la station de travail sur d'autres sites.

Emprunter l'identité d'un compte de service

Si les règles de sécurité de votre organisation empêchent les comptes utilisateur de disposer des autorisations requises, vous pouvez également emprunter l'identité d'un compte de service. Pour emprunter l'identité du compte de service spécifié dans la configuration de votre station de travail, vous pouvez spécifier le champ Champs d'application du compte de service. 

        gcloud workstations configs create CONFIG \
            --cluster=CLUSTER \
            --region=REGION \
            --project=PROJECT \
            --service-account=SERVICE_ACCOUNT \
            --service-account-scopes=https://www.googleapis.com/auth/cloud-platform
Lorsqu'il est spécifié, les utilisateurs des stations de travail de cette configuration doivent disposer de l'autorisation iam.serviceAccounts.actAs sur le compte de service. Pour en savoir plus sur la spécification des champs d'application du compte de service, consultez Niveaux d'accès.

Étapes suivantes