API-Zugriff auf einer Workstation authentifizieren und einrichten

In diesem Dokument wird beschrieben, wie Sie sich auf einer Workstation authentifizieren und den API-Zugriff einrichten. Allgemeine Informationen zur Google Cloud-Authentifizierung finden Sie unter Authentifizierung.

Als Nutzer mit der Google Cloud CLI authentifizieren

Nachdem Sie Cloud Workstations gestartet haben, können Sie über Ihre Nutzerkonten über die gcloud CLI auf Google Cloud-Dienste und die API zugreifen.

  1. Öffnen Sie ein Terminal auf der Workstation. Wie Sie ein Terminalfenster öffnen, hängt von der verwendeten IDE ab. Wenn Sie beispielsweise den Base-Editor von Cloud Workstations verwenden, können Sie ein Terminal öffnen, indem Sie Terminal > Neues Terminal auswählen oder Strg + Umschalt +` drücken.
  2. Authentifizieren Sie sich mit dem folgenden Befehl: 
    gcloud auth login --no-launch-browser
  3. Folgen Sie der Anleitung im Befehl, um sich bei Google Cloud zu authentifizieren.
  4. Geben Sie Ihre Google Cloud-Projekt-ID mit dem folgenden Befehl an: 
    gcloud config set project PROJECT_ID
  5. Aktivieren Sie die Standardanmeldedaten für Anwendungen, damit Sie Google Cloud-Dienste aufrufen können. 
    gcloud auth application-default login
  6. Ihre gcloud CLI-Anmeldedaten werden jetzt gespeichert und sind verfügbar, wenn Sie Ihre Workstation in zukünftigen Sitzungen verwenden.

HTTP-Anfrage an eine Workstation senden

Um eine HTTP-Anfrage an eine Workstation zu senden, benötigen Sie ein Zugriffstoken für ein Konto mit der Rolle Nutzer von Cloud Workstations auf dieser Workstation:

  1. Erstelle ein Zugriffstoken mit der API-Methode generateAccessToken.
  2. Fügen Sie einen HTTP-Header mit dem Namen Authorization und dem Wert Bearer $TOKEN hinzu.

Verbindung zur Workstation im Browser herstellen

Wenn Sie die URL Ihrer Workstation in Ihrem Browser öffnen, werden Sie automatisch über eine Weiterleitung zum Workstation-Server authentifiziert und es wird ein Zugriffstoken abgerufen, das mit der API-Methode generateAccessToken generiert wurde. Sie werden dann zu Ihrer Workstation weitergeleitet und es wird ein Authentifizierungs-Cookie gesetzt, das für Ihre aktuelle Workstation-Sitzung gültig ist.

Wenn Sie diese Weiterleitung überspringen möchten, verwenden Sie den URL-Parameter _workstationAccessToken:

  1. Erstelle ein Zugriffstoken mit der API-Methode generateAccessToken.
  2. Öffnen Sie die URL Ihrer Workstation im Browser und hängen Sie einen URL-Parameter mit folgendem Format an: _workstationAccessToken=TOKEN.

Dadurch wird in Ihrem Browser ein Authentifizierungs-Cookie gesetzt, das den Zugriff für Ihre aktuelle Workstation-Sitzung ermöglicht. Das Überspringen der Weiterleitung kann hilfreich sein, wenn der Zugriff auf den Workstation-Server durch Netzwerkrichtlinien blockiert wird oder wenn Iframes verwendet werden, um die Workstation auf anderen Websites anzuzeigen.

Identitätswechsel des Dienstkontos

Wenn die Sicherheitsrichtlinien Ihrer Organisation verhindern, dass Nutzerkonten die erforderlichen Berechtigungen haben, können Sie auch die Identität eines Dienstkontos übernehmen. Wenn Sie die Identität des in der Workstationkonfiguration angegebenen Dienstkontos übernehmen möchten, können Sie das Feld Dienstkontobereiche angeben. 

        gcloud workstations configs create CONFIG \
            --cluster=CLUSTER \
            --region=REGION \
            --project=PROJECT \
            --service-account=SERVICE_ACCOUNT \
            --service-account-scopes=https://www.googleapis.com/auth/cloud-platform
Wenn angegeben, müssen Nutzer von Workstations mit dieser Konfiguration die Berechtigung iam.serviceAccounts.actAs für das Dienstkonto haben. Weitere Informationen zum Angeben von Bereichen für das Dienstkonto finden Sie unter Zugriffsbereiche.

Nächste Schritte