Autenticar e configurar o acesso à API em uma estação de trabalho

Este documento descreve como autenticar e configurar o acesso à API em uma estação de trabalho. Para informações gerais sobre Google Cloud autenticação, consulte a visão geral da autenticação.

Autenticar como um usuário com a Google Cloud CLI

Depois de iniciar o Cloud Workstations, você pode acessar Google Cloud serviços e a API usando suas contas de usuário pela gcloud CLI.

  1. Abra um terminal na estação de trabalho. A maneira de abrir uma janela de terminal depende da IDE que você está usando. Por exemplo, se você estiver usando o editor de base do Cloud Workstations, abra um terminal selecionando Terminal > Novo terminal ou pressionando Control+Shift+`.
  2. Faça a autenticação com o seguinte comando: 
    gcloud auth login --no-launch-browser
  3. Siga as instruções fornecidas pelo comando para fazer a autenticação Google Cloud.
  4. Especifique o ID do Google Cloud projeto com o seguinte comando: 
    gcloud config set project PROJECT_ID
  5. Ative as Application Default Credentials para permitir que você chame Google Cloud serviços. 
    gcloud auth application-default login
  6. Suas credenciais da CLI gcloud agora estão salvas e disponíveis quando você usa a estação de trabalho em sessões futuras.

Emitir uma solicitação HTTP para uma estação de trabalho

Para emitir uma solicitação HTTP para uma estação de trabalho, você precisa de um token de acesso para uma conta que tenha o papel de usuário do Cloud Workstations nessa estação de trabalho:

  1. Gere um token de acesso usando o método da API generateAccessToken.
  2. Adicione um cabeçalho HTTP chamado Authorization com o valor Bearer $TOKEN.

Conectar-se à estação de trabalho no navegador

A abertura do URL da estação de trabalho no navegador faz a autenticação automaticamente por um redirecionamento para o servidor de estações de trabalho e recupera um token de acesso gerado pelo generateAccessToken método da API. Isso redireciona de volta para a estação de trabalho e define um cookie de autenticação válido para a sessão atual da estação de trabalho.

Para pular esse redirecionamento, use o _workstationAccessToken URL parâmetro:

  1. Gere um token de acesso usando o generateAccessToken método da API.
  2. Abra o URL da estação de trabalho no navegador e anexe um parâmetro de URL com o seguinte formato: _workstationAccessToken=TOKEN.

Isso define um cookie de autenticação no navegador que permite o acesso à sessão atual da estação de trabalho. Pular o redirecionamento pode ser útil quando o acesso ao servidor da estação de trabalho é bloqueado por políticas de rede ou ao usar iframes para mostrar a estação de trabalho em outros sites.

Representar uma conta de serviço

Se as políticas de segurança da sua organização impedirem que as contas de usuário tenham as permissões necessárias, você também poderá representar uma conta de serviço. Para representar a conta de serviço especificada na configuração da estação de trabalho, especifique o campo de escopos da conta de serviço. 

        gcloud workstations configs create CONFIG \
            --cluster=CLUSTER \
            --region=REGION \
            --project=PROJECT \
            --service-account=SERVICE_ACCOUNT \
            --service-account-scopes=https://www.googleapis.com/auth/cloud-platform
Quando especificado, os usuários de estações de trabalho nessa configuração precisam ter a permissão iam.serviceAccounts.actAs na conta de serviço. Para mais informações sobre como especificar escopos para a conta de serviço, consulte Escopos de acesso.

A seguir