Google Cloud-Umgebungen

Last published : Nov 13, 2026
Mit Citrix Virtual Apps and Desktops™ können Sie Maschinen in Google Cloud bereitstellen und verwalten. Dieser Artikel führt Sie durch die Verwendung von Machine Creation Services (MCS) zur Bereitstellung virtueller Maschinen in Ihrer Citrix Virtual Apps- oder Citrix Virtual Desktops-Dienstbereitstellung.
Related information
Installation vorbereiten

Anforderungen

  • Citrix Cloud™-Konto. Die in diesem Artikel beschriebene Funktion ist nur in Citrix Cloud verfügbar.
  • Citrix DaaS-Abonnement. Weitere Informationen finden Sie unter Erste Schritte.
  • Ein Google Cloud-Projekt. Das Projekt speichert alle mit dem Maschinenkatalog verbundenen Compute-Ressourcen. Es kann ein vorhandenes oder ein neues Projekt sein.
  • Aktivieren Sie vier APIs in Ihrem Google Cloud-Projekt. Weitere Informationen finden Sie unter Google Cloud APIs aktivieren.
  • Google Cloud-Dienstkonto. Das Dienstkonto authentifiziert sich bei Google Cloud, um den Zugriff auf das Projekt zu ermöglichen. Weitere Informationen finden Sie unter Google Cloud-Dienstkonto konfigurieren.
  • Aktivieren Sie den privaten Google-Zugriff. Weitere Informationen finden Sie unter Privaten Google-Zugriff aktivieren.

Google Cloud APIs aktivieren

Um die Google Cloud-Funktionalität über Web Studio zu nutzen, aktivieren Sie diese APIs in Ihrem Google Cloud-Projekt:
  • Compute Engine API
  • Cloud Resource Manager API
  • Identitäts- und Zugriffsverwaltung (IAM) API
  • Cloud Build API
Führen Sie in der Google Cloud Console die folgenden Schritte aus:
  1. Wählen Sie im Menü oben links APIs und Dienste > Dashboard.
    APIs und Dienste Dashboard auswählen Bild
  2. Stellen Sie auf dem Bildschirm Dashboard sicher, dass die Compute Engine API aktiviert ist. Falls nicht, gehen Sie wie folgt vor:
    1. Navigieren Sie zu APIs und Dienste > Bibliothek.
      APIs und Dienste Bibliothek Bild
    2. Geben Sie im Suchfeld Compute Engine ein.
    3. Wählen Sie aus den Suchergebnissen Compute Engine API aus.
    4. Wählen Sie auf der Seite Compute Engine API die Option Aktivieren.
  3. Aktivieren Sie die Cloud Resource Manager API.
    1. Navigieren Sie zu APIs und Dienste > Bibliothek.
    2. Geben Sie im Suchfeld Cloud Resource Manager ein.
    3. Wählen Sie aus den Suchergebnissen Cloud Resource Manager API aus.
    4. Wählen Sie auf der Seite Cloud Resource Manager API die Option Aktivieren. Der Status der API wird angezeigt.
  4. Aktivieren Sie entsprechend die Identity and Access Management (IAM) API und die Cloud Build API.
Sie können die APIs auch über die Google Cloud Shell aktivieren. Gehen Sie dazu wie folgt vor:
  1. Öffnen Sie die Google Console und laden Sie die Cloud Shell.
  2. Führen Sie die folgenden vier Befehle in der Cloud Shell aus:
    • gcloud Dienste aktivieren compute.googleapis.com
    • gcloud Dienste aktivieren cloudresourcemanager.googleapis.com
    • gcloud Dienste aktivieren iam.googleapis.com
    • gcloud Dienste aktivieren cloudbuild.googleapis.com
  3. Klicken Sie auf Autorisieren, wenn die Cloud Shell dazu auffordert.

Dienstkonten konfigurieren und aktualisieren

Hinweis:
CP führt Änderungen am Standardverhalten des Cloud Build Service und der Verwendung von Dienstkonten nach April 29, 2024 ein. Weitere Informationen finden Sie unter Cloud Build Service Account Change. Ihre bestehenden Google-Projekte, bei denen die Cloud Build API vor April 29, 2024 aktiviert wurde, sind von dieser Änderung nicht betroffen. Wenn Sie jedoch das bestehende Verhalten des Cloud Build Service nach April 29 beibehalten möchten, können Sie die Organisationsrichtlinie erstellen oder anwenden, um die Erzwingung der Einschränkung zu deaktivieren, bevor Sie die Cloud Build API aktivieren. Daher ist der folgende Inhalt in zwei Abschnitte unterteilt: Before April 29, 2024 und After April 29, 2024. Wenn Sie die neue Organisationsrichtlinie festlegen, folgen Sie dem Abschnitt Before April 29, 2024.

Vor April 29, 2024

Citrix Cloud verwendet drei separate Dienstkonten innerhalb des Google Cloud-Projekts:
  • Citrix Cloud-Dienstkonto: Dieses Dienstkonto ermöglicht Citrix Cloud den Zugriff auf das Google-Projekt, die Bereitstellung und Verwaltung von Maschinen. Dieses Dienstkonto authentifiziert sich bei Google Cloud mithilfe eines von Google Cloud generierten Schlüssels.
    Sie müssen dieses Dienstkonto manuell wie hier beschrieben erstellen. Weitere Informationen finden Sie unter Erstellen eines Citrix Cloud-Dienstkontos.
    Sie können dieses Dienstkonto anhand einer E-Mail-Adresse identifizieren. Zum Beispiel: <my-service-account>@<project-id>.iam.gserviceaccount.com.
  • Cloud Build-Dienstkonto: Dieses Dienstkonto wird automatisch bereitgestellt, nachdem Sie alle in Google Cloud APIs aktivieren genannten APIs aktiviert haben. Um alle automatisch erstellten Dienstkonten anzuzeigen, navigieren Sie in der Google Cloud-Konsole zu IAM & Admin > IAM und aktivieren Sie das Kontrollkästchen Google-provided role grants einschließen.
    Sie können dieses Dienstkonto anhand einer E-Mail-Adresse identifizieren, die mit der Projekt-ID und dem Wort cloudbuild beginnt. Zum Beispiel: <project-id>@cloudbuild.gserviceaccount.com
    Überprüfen Sie, ob dem Dienstkonto die folgenden Rollen zugewiesen wurden. Wenn Sie Rollen hinzufügen müssen, befolgen Sie die Schritte, die unter Rollen zum Cloud Build-Dienstkonto hinzufügen beschrieben sind.
    • Cloud Build-Dienstkonto
    • Compute Instance-Administrator
    • Dienstkontobenutzer
  • Cloud Compute-Dienstkonto: Dieses Dienstkonto wird von Google Cloud zu Instanzen hinzugefügt, die in Google Cloud erstellt wurden, sobald die Compute API aktiviert ist. Dieses Konto verfügt über die grundlegende IAM-Editor-Rolle, um die Vorgänge auszuführen. Wenn Sie jedoch die Standardberechtigung löschen, um eine granularere Kontrolle zu erhalten, müssen Sie eine Speicheradministrator-Rolle hinzufügen, die die folgenden Berechtigungen erfordert:
    • resourcemanager.projects.get
    • storage.objects.create
    • storage.objects.get
    • storage.objects.list
Sie können dieses Dienstkonto anhand einer E-Mail-Adresse identifizieren, die mit der Projekt-ID und dem Wort compute beginnt. Zum Beispiel: <project-id>-compute@developer.gserviceaccount.com.

Ein Citrix Cloud-Dienstkonto erstellen

Gehen Sie wie folgt vor, um ein Citrix Cloud-Dienstkonto zu erstellen:
  1. Navigieren Sie in der Google Cloud Console zu IAM & Admin > Dienstkonten.
  2. Wählen Sie auf der Seite Dienstkonten die Option DIENSTKONTO ERSTELLEN.
  3. Geben Sie auf der Seite Dienstkonto erstellen die erforderlichen Informationen ein und wählen Sie dann ERSTELLEN UND FORTFAHREN.
  4. Klicken Sie auf der Seite Diesem Dienstkonto Zugriff auf das Projekt gewähren auf das Dropdown-Menü Rolle auswählen und wählen Sie die erforderlichen Rollen aus. Klicken Sie auf +WEITERE ROLLE HINZUFÜGEN, wenn Sie weitere Rollen hinzufügen möchten.
    Jedes Konto (persönlich oder Dienstkonto) hat verschiedene Rollen, die die Verwaltung des Projekts definieren. Weisen Sie diesem Dienstkonto die folgenden Rollen zu:
    • Compute-Administrator
    • Speicher-Administrator
    • Cloud Build-Editor
    • Dienstkontobenutzer
    • Cloud Datastore-Benutzer
    • Cloud KMS-Krypto-Operator
    Der Cloud KMS-Krypto-Operator benötigt die folgenden Berechtigungen:
    • cloudkms.cryptoKeys.get
    • cloudkms.cryptoKeys.list
    • cloudkms.keyRings.get
    • cloudkms.keyRings.list
    Hinweis:
    Aktivieren Sie alle APIs, um die vollständige Liste der verfügbaren Rollen beim Erstellen eines neuen Dienstkontos zu erhalten.
  5. Klicken Sie auf WEITER.
  6. Fügen Sie auf der Seite Benutzern Zugriff auf dieses Dienstkonto gewähren Benutzer oder Gruppen hinzu, um ihnen Zugriff zum Ausführen von Aktionen in diesem Dienstkonto zu gewähren.
  7. Klicken Sie auf FERTIG.
  8. Navigieren Sie zur IAM-Hauptkonsole.
  9. Identifizieren Sie das erstellte Dienstkonto.
  10. Überprüfen Sie, ob die Rollen erfolgreich zugewiesen wurden.
Überlegungen:
Berücksichtigen Sie beim Erstellen des Dienstkontos Folgendes:
  • Die Schritte Diesem Dienstkonto Zugriff auf das Projekt gewähren und Benutzern Zugriff auf dieses Dienstkonto gewähren sind optional. Wenn Sie diese optionalen Konfigurationsschritte überspringen, wird das neu erstellte Dienstkonto nicht auf der Seite IAM & Admin > IAM angezeigt.
  • Um die einem Dienstkonto zugeordneten Rollen anzuzeigen, fügen Sie die Rollen hinzu, ohne die optionalen Schritte zu überspringen. Dieser Prozess stellt sicher, dass die Rollen für das konfigurierte Dienstkonto angezeigt werden.

Citrix Cloud-Dienstkontoschlüssel

Der Citrix Cloud-Dienstkontoschlüssel ist erforderlich, um eine Verbindung in Citrix DaaS zu erstellen. Der Schlüssel ist in einer Anmeldeinformationsdatei (.json) enthalten. Die Datei wird nach dem Erstellen des Schlüssels automatisch heruntergeladen und im Ordner Downloads gespeichert. Stellen Sie beim Erstellen des Schlüssels sicher, dass der Schlüsseltyp auf JSON eingestellt ist. Andernfalls kann Web Studio ihn nicht analysieren.
Um einen Dienstkontoschlüssel zu erstellen, navigieren Sie zu IAM & Admin > Dienstkonten und klicken Sie auf die E-Mail-Adresse des Citrix Cloud-Dienstkontos. Wechseln Sie zur Registerkarte Schlüssel und wählen Sie Schlüssel hinzufügen > Neuen Schlüssel erstellen. Stellen Sie sicher, dass Sie JSON als Schlüsseltyp auswählen.
Tipp:
Erstellen Sie Schlüssel über die Seite Dienstkonten in der Google Cloud Console. Wir empfehlen, Schlüssel aus Sicherheitsgründen regelmäßig zu ändern. Sie können der Anwendung Citrix Virtual Apps and Desktops neue Schlüssel bereitstellen, indem Sie eine vorhandene Google Cloud-Verbindung bearbeiten.

Rollen zum Citrix Cloud-Dienstkonto hinzufügen

So fügen Sie dem Citrix Cloud-Dienstkonto Rollen hinzu:
  1. Navigieren Sie in der Google Cloud Console zu IAM & Admin > IAM.
  2. Suchen Sie auf der Seite IAM > BERECHTIGUNGEN das von Ihnen erstellte Dienstkonto, das anhand einer E-Mail-Adresse identifizierbar ist.
    Zum Beispiel: <my-service-account>@<project-id>.iam.gserviceaccount.com
  3. Wählen Sie das Bleistiftsymbol aus, um den Zugriff auf den Prinzipal des Dienstkontos zu bearbeiten.
  4. Wählen Sie auf der Seite Zugriff auf „Projekt-ID“ bearbeiten für die ausgewählte Prinzipaloption WEITERE ROLLE HINZUFÜGEN, um die erforderlichen Rollen einzeln zu Ihrem Dienstkonto hinzuzufügen, und wählen Sie dann SPEICHERN.

Rollen zum Cloud Build-Dienstkonto hinzufügen

So fügen Sie dem Cloud Build-Dienstkonto Rollen hinzu:
  1. Navigieren Sie in der Google Cloud Console zu IAM & Admin > IAM.
  2. Suchen Sie auf der Seite IAM das Cloud Build-Dienstkonto, das anhand einer E-Mail-Adresse identifizierbar ist, die mit der Projekt-ID und dem Wort cloudbuild beginnt.
    Zum Beispiel: <project-id>@cloudbuild.gserviceaccount.com
  3. Wählen Sie das Bleistiftsymbol aus, um die Rollen des Cloud Build-Kontos zu bearbeiten.
  4. Wählen Sie auf der Seite Zugriff auf „project-id“ bearbeiten für die ausgewählte Prinzipaloption WEITERE ROLLE HINZUFÜGEN, um die erforderlichen Rollen einzeln zu Ihrem Cloud Build-Dienstkonto hinzuzufügen, und wählen Sie dann SPEICHERN.
    Hinweis:
    Aktivieren Sie alle APIs, um die vollständige Liste der Rollen zu erhalten.

Nach April 29, 2024

Citrix Cloud verwendet zwei separate Dienstkonten innerhalb des Google Cloud-Projekts:
  • Citrix Cloud-Dienstkonto: Dieses Dienstkonto ermöglicht Citrix Cloud den Zugriff auf das Google-Projekt, die Bereitstellung und Verwaltung von Maschinen. Dieses Dienstkonto authentifiziert sich bei Google Cloud mithilfe eines von Google Cloud generierten Schlüssels.
    Sie müssen dieses Dienstkonto manuell erstellen.
    Sie können dieses Dienstkonto anhand einer E-Mail-Adresse identifizieren. Zum Beispiel: <my-service-account>@<project-id>.iam.gserviceaccount.com.
  • Cloud Compute-Dienstkonto: Dieses Dienstkonto wird automatisch bereitgestellt, nachdem Sie alle in Google Cloud APIs aktivieren genannten APIs aktiviert haben. Um alle automatisch erstellten Dienstkonten anzuzeigen, navigieren Sie in der Google Cloud-Konsole zu IAM & Admin > IAM und aktivieren Sie das Kontrollkästchen Google-provided role grants einschließen. Dieses Konto hat die grundlegende IAM-Editor-Rolle, um die Operationen auszuführen. Wenn Sie jedoch die Standardberechtigung löschen, um eine granularere Kontrolle zu haben, müssen Sie die Rolle Storage Admin hinzufügen, die die folgenden Berechtigungen erfordert:
    • resourcemanager.projects.get
    • storage.objects.create
    • storage.objects.get
    • storage.objects.list
    Sie können dieses Dienstkonto an einer E-Mail-Adresse identifizieren, die mit der Projekt-ID und dem Wort compute beginnt. Zum Beispiel, <project-id>-compute@developer.gserviceaccount.com..
    Überprüfen Sie, ob dem Dienstkonto die folgenden Rollen zugewiesen wurden.
    • Cloud Build-Dienstkonto
    • Compute Instance-Administrator
    • Dienstkontobenutzer

Ein Citrix Cloud-Dienstkonto erstellen

Gehen Sie wie folgt vor, um ein Citrix Cloud-Dienstkonto zu erstellen:
  1. Navigieren Sie in der Google Cloud Console zu IAM & Admin > Dienstkonten.
  2. Wählen Sie auf der Seite Dienstkonten die Option DIENSTKONTO ERSTELLEN.
  3. Geben Sie auf der Seite Dienstkonto erstellen die erforderlichen Informationen ein und wählen Sie dann ERSTELLEN UND FORTFAHREN.
  4. Klicken Sie auf der Seite Diesem Dienstkonto Zugriff auf das Projekt gewähren auf das Dropdown-Menü Rolle auswählen und wählen Sie die erforderlichen Rollen aus. Klicken Sie auf +WEITERE ROLLE HINZUFÜGEN, wenn Sie weitere Rollen hinzufügen möchten.
    Jedes Konto (persönlich oder Dienstkonto) hat verschiedene Rollen, die die Verwaltung des Projekts definieren. Weisen Sie diesem Dienstkonto die folgenden Rollen zu:
    • Compute-Administrator
    • Speicher-Administrator
    • Cloud Build-Editor
    • Dienstkontobenutzer
    • Cloud Datastore-Benutzer
    • Cloud KMS-Krypto-Operator
    Der Cloud KMS-Krypto-Operator benötigt die folgenden Berechtigungen:
    • cloudkms.cryptoKeys.get
    • cloudkms.cryptoKeys.list
    • cloudkms.keyRings.get
    • cloudkms.keyRings.list
    Hinweis:
    Aktivieren Sie alle APIs, um die vollständige Liste der verfügbaren Rollen beim Erstellen eines neuen Dienstkontos zu erhalten.
  5. Klicken Sie auf WEITER.
  6. Fügen Sie auf der Seite Benutzern Zugriff auf dieses Dienstkonto gewähren Benutzer oder Gruppen hinzu, um ihnen Zugriff zum Ausführen von Aktionen in diesem Dienstkonto zu gewähren.
  7. Klicken Sie auf FERTIG.
  8. Navigieren Sie zur IAM-Hauptkonsole.
  9. Identifizieren Sie das erstellte Dienstkonto.
  10. Überprüfen Sie, ob die Rollen erfolgreich zugewiesen wurden.
Überlegungen:
Berücksichtigen Sie beim Erstellen des Dienstkontos Folgendes:
  • Die Schritte Diesem Dienstkonto Zugriff auf das Projekt gewähren und Benutzern Zugriff auf dieses Dienstkonto gewähren sind optional. Wenn Sie diese optionalen Konfigurationsschritte überspringen, wird das neu erstellte Dienstkonto nicht auf der Seite IAM & Admin > IAM angezeigt.
  • Um die einem Dienstkonto zugeordneten Rollen anzuzeigen, fügen Sie die Rollen hinzu, ohne die optionalen Schritte zu überspringen. Dieser Prozess stellt sicher, dass die Rollen für das konfigurierte Dienstkonto angezeigt werden.

Citrix Cloud-Dienstkontoschlüssel

Der Citrix Cloud-Dienstkontoschlüssel ist erforderlich, um eine Verbindung in Citrix DaaS zu erstellen. Der Schlüssel ist in einer Anmeldeinformationsdatei (.json) enthalten. Die Datei wird nach dem Erstellen des Schlüssels automatisch heruntergeladen und im Ordner Downloads gespeichert. Stellen Sie beim Erstellen des Schlüssels sicher, dass der Schlüsseltyp auf JSON eingestellt ist. Andernfalls kann Web Studio ihn nicht analysieren.
Um einen Dienstkontoschlüssel zu erstellen, navigieren Sie zu IAM & Admin > Dienstkonten und klicken Sie auf die E-Mail-Adresse des Citrix Cloud-Dienstkontos. Wechseln Sie zur Registerkarte Schlüssel und wählen Sie Schlüssel hinzufügen > Neuen Schlüssel erstellen. Stellen Sie sicher, dass Sie JSON als Schlüsseltyp auswählen.
Tipp:
Erstellen Sie Schlüssel über die Seite Dienstkonten in der Google Cloud Console. Wir empfehlen, Schlüssel aus Sicherheitsgründen regelmäßig zu ändern. Sie können der Anwendung Citrix Virtual Apps and Desktops neue Schlüssel bereitstellen, indem Sie eine vorhandene Google Cloud-Verbindung bearbeiten.

Rollen zum Citrix Cloud-Dienstkonto hinzufügen

So fügen Sie dem Citrix Cloud-Dienstkonto Rollen hinzu:
  1. Navigieren Sie in der Google Cloud Console zu IAM & Admin > IAM.
  2. Suchen Sie auf der Seite IAM > BERECHTIGUNGEN das von Ihnen erstellte Dienstkonto, das anhand einer E-Mail-Adresse identifizierbar ist.
    Zum Beispiel: <my-service-account>@<project-id>.iam.gserviceaccount.com
  3. Wählen Sie das Bleistiftsymbol aus, um den Zugriff auf den Prinzipal des Dienstkontos zu bearbeiten.
  4. Wählen Sie auf der Seite Zugriff auf „Projekt-ID“ bearbeiten für die ausgewählte Prinzipaloption WEITERE ROLLE HINZUFÜGEN, um die erforderlichen Rollen einzeln zu Ihrem Dienstkonto hinzuzufügen, und wählen Sie dann SPEICHERN.

Rollen zum Cloud Compute-Dienstkonto hinzufügen

So fügen Sie dem Cloud Compute-Dienstkonto Rollen hinzu:
  1. Navigieren Sie in der Google Cloud Console zu IAM & Admin > IAM.
  2. Suchen Sie auf der Seite IAM das Cloud Compute-Dienstkonto, das anhand einer E-Mail-Adresse identifizierbar ist, die mit der Projekt-ID und dem Wort compute beginnt.
    Zum Beispiel: <project-id>-compute@developer.gserviceaccount.com
  3. Wählen Sie das Bleistiftsymbol aus, um die Rollen des Cloud Build-Kontos zu bearbeiten.
  4. Wählen Sie auf der Seite Zugriff auf „project-id“ bearbeiten für die ausgewählte Prinzipaloption WEITERE ROLLE HINZUFÜGEN, um die erforderlichen Rollen einzeln zu Ihrem Cloud Build-Dienstkonto hinzuzufügen, und wählen Sie dann SPEICHERN.
    Hinweis:
    Aktivieren Sie alle APIs, um die vollständige Liste der Rollen zu erhalten.

Speicherberechtigungen und Bucket-Verwaltung

Citrix DaaS verbessert den Prozess der Berichterstattung über Cloud Build-Fehler für den Google Cloud-Dienst. Dieser Dienst führt Builds in der Google Cloud aus. Citrix DaaS erstellt einen Speicher-Bucket namens citrix-mcs-cloud-build-logs-{region}-{5 random characters}, in dem die Google Cloud-Dienste Build-Protokollinformationen erfassen. Für diesen Bucket ist eine Option festgelegt, die den Inhalt nach 30 Tagen löscht. Dieser Prozess erfordert, dass das für die Verbindung verwendete Dienstkonto über Google Cloud-Berechtigungen verfügt, die auf storage.buckets.update festgelegt sind. Wenn das Dienstkonto diese Berechtigung nicht hat, ignoriert Citrix DaaS Fehler und fährt mit dem Katalogerstellungsprozess fort. Ohne diese Berechtigung erhöht sich die Größe der Build-Protokolle und erfordert eine manuelle Bereinigung.

Privaten Google-Zugriff aktivieren

Wenn einer VM keine externe IP-Adresse für ihre Netzwerkschnittstelle zugewiesen ist, werden Pakete nur an andere interne IP-Adressziele gesendet. Wenn Sie den privaten Zugriff aktivieren, stellt die VM eine Verbindung zu den externen IP-Adressen her, die von der Google API und den zugehörigen Diensten verwendet werden.
Hinweis:
Unabhängig davon, ob der private Google-Zugriff aktiviert ist, müssen alle VMs, die öffentliche und keine öffentlichen IP-Adressen haben, auf Google Public APIs zugreifen können, insbesondere wenn Netzwerkgeräte von Drittanbietern in der Umgebung installiert wurden.
Um sicherzustellen, dass eine VM in Ihrem Subnetz ohne eine öffentliche IP-Adresse für die MCS-Bereitstellung auf die Google APIs zugreifen kann:
  1. Greifen Sie in Google Cloud auf die VPC-Netzwerkkonfiguration zu.
  2. Aktivieren Sie im Bildschirm „Subnetzdetails“ die Option Privater Google-Zugriff.
Privater Google-Zugriff
Weitere Informationen finden Sie unter Konfigurieren des privaten Google-Zugriffs.
Wichtig:
Wenn Ihr Netzwerk so konfiguriert ist, dass der VM-Zugriff auf das Internet verhindert wird, stellen Sie sicher, dass Ihre Organisation die Risiken übernimmt, die mit der Aktivierung des privaten Google-Zugriffs für das Subnetz verbunden sind, mit dem die VM verbunden ist.

Verbindung hinzufügen

Befolgen Sie die Anweisungen unter Verbindung und Ressourcen erstellen. Die folgende Beschreibung führt Sie durch die Einrichtung einer Hosting-Verbindung:
  1. Wählen Sie unter Verwalten > Konfiguration im linken Bereich die Option Hosting.
  2. Wählen Sie in der Aktionsleiste Verbindung und Ressourcen hinzufügen aus.
  3. Wählen Sie auf der Seite Verbindung die Option Neue Verbindung erstellen und Citrix Provisioning™-Tools aus, und wählen Sie dann Weiter.
    • Verbindungstyp. Wählen Sie Google Cloud aus dem Menü.
    • Verbindungsname. Geben Sie einen Namen für die Verbindung ein.
  4. Wählen Sie auf der Seite Region einen Projektnamen aus dem Menü, wählen Sie eine Region mit den Ressourcen, die Sie verwenden möchten, und wählen Sie dann Weiter.
  5. Geben Sie auf der Seite Netzwerk einen Namen für die Ressourcen ein, wählen Sie ein virtuelles Netzwerk aus dem Menü, wählen Sie eine Teilmenge und wählen Sie dann Weiter. Der Ressourcenname hilft, die Kombination aus Region und Netzwerk zu identifizieren. Virtuelle Netzwerke mit dem Suffix (Shared) stellen freigegebene VPCs dar. Wenn Sie eine IAM-Rolle auf Subnetzebene für eine freigegebene VPC konfigurieren, werden nur bestimmte Subnetze der freigegebenen VPC in der Subnetzliste angezeigt.
    Hinweis:
    • Der Ressourcenname kann 1–64 Zeichen enthalten und darf nicht nur Leerzeichen oder die Zeichen \ / ; : # . * ? = < > | [ ] { } " ' ( ) ' ) enthalten.
  6. Bestätigen Sie auf der Seite Zusammenfassung die Informationen und wählen Sie dann Fertig stellen, um das Fenster Verbindung und Ressourcen hinzufügen zu schließen.
Nachdem Sie die Verbindung und Ressourcen erstellt haben, werden die von Ihnen erstellten Verbindungen und Ressourcen aufgelistet. Um die Verbindung zu konfigurieren, wählen Sie die Verbindung und dann die entsprechende Option in der Aktionsleiste aus.
Ebenso können Sie die unter der Verbindung erstellten Ressourcen löschen, umbenennen oder testen. Wählen Sie dazu die Ressource unter der Verbindung und dann die entsprechende Option in der Aktionsleiste.

Eine Master-VM-Instanz und eine persistente Festplatte vorbereiten

Tipp:
Persistente Festplatte ist der Google Cloud-Begriff für virtuelle Festplatte.
Um Ihre Master-VM-Instanz vorzubereiten, erstellen und konfigurieren Sie eine VM-Instanz mit Eigenschaften, die der gewünschten Konfiguration für die geklonten VDA-Instanzen in Ihrem geplanten Maschinenkatalog entsprechen. Die Konfiguration gilt nicht nur für die Instanzgröße und den Typ. Sie umfasst auch Instanzattribute wie Metadaten, Tags, GPU-Zuweisungen, Netzwerk-Tags und Dienstkontoeigenschaften.
Im Rahmen des Mastering-Prozesses verwendet MCS Ihre Master-VM-Instanz, um die Google Cloud-Instanzvorlage zu erstellen. Die Instanzvorlage wird dann verwendet, um die geklonten VDA-Instanzen zu erstellen, die den Maschinenkatalog bilden. Geklonte Instanzen erben die Eigenschaften (mit Ausnahme der VPC-, Subnetz- und persistenten Festplatten-Eigenschaften) der Master-VM-Instanz, aus der die Instanzvorlage erstellt wurde.
Nachdem Sie die Eigenschaften der Master-VM-Instanz nach Ihren Vorgaben konfiguriert haben, starten Sie die Instanz und bereiten dann die persistente Festplatte für die Instanz vor.
Wir empfehlen, manuell einen Snapshot der Festplatte zu erstellen. Dadurch können Sie eine aussagekräftige Namenskonvention zur Versionsverfolgung verwenden, erhalten mehr Optionen zur Verwaltung früherer Versionen Ihres Master-Images und sparen Zeit bei der Erstellung von Maschinenkatalogen. Wenn Sie keinen eigenen Snapshot erstellen, erstellt MCS einen temporären Snapshot für Sie (der am Ende des Bereitstellungsprozesses gelöscht wird).

Maschinenkatalog erstellen

Hinweis:
Erstellen Sie Ihre Ressourcen, bevor Sie einen Maschinenkatalog erstellen. Verwenden Sie die von Google Cloud festgelegten Namenskonventionen, wenn Sie Maschinenkataloge konfigurieren. Weitere Informationen finden Sie unter Richtlinien für die Benennung von Buckets und Objekten.
Befolgen Sie die Anweisungen unter Maschinenkataloge erstellen. Derzeit unterstützt Studio das Erstellen von Google Cloud-Katalogen nicht. Verwenden Sie stattdessen PowerShell.

Maschinenkatalog verwalten

Informationen zum Hinzufügen von Maschinen zu einem Katalog, zum Aktualisieren von Maschinen und zum Zurücksetzen eines Updates finden Sie unter Maschinenkataloge verwalten.

Energieverwaltung

Citrix DaaS ermöglicht die Energieverwaltung von Google Cloud-Maschinen. Verwenden Sie den Knoten Suchen im Navigationsbereich, um die Maschine zu finden, deren Energie Sie verwalten möchten. Die folgenden Energieaktionen sind verfügbar:
  • Löschen
  • Starten
  • Neustart
  • Erzwungener Neustart
  • Herunterfahren
  • Erzwungenes Herunterfahren
  • Zu Delivery Group hinzufügen
  • Tags verwalten
  • Wartungsmodus aktivieren
Sie können Google Cloud-Maschinen auch mit Autoscale energieverwalten. Fügen Sie dazu die Google Cloud-Maschinen einer Bereitstellungsgruppe hinzu und aktivieren Sie dann Autoscale für diese Bereitstellungsgruppe. Weitere Informationen zu Autoscale finden Sie unter Autoscale.

Versehentliches Löschen von Maschinen verhindern

Citrix DaaS ermöglicht es Ihnen, MCS-Ressourcen in der Google Cloud vor versehentlichem Löschen zu schützen. Konfigurieren Sie die bereitgestellte VM, indem Sie das Flag deletionProtection auf TRUE setzen.
Standardmäßig werden VMs, die über MCS oder das Google Cloud-Plug-In bereitgestellt werden, mit aktivierter InstanceProtection erstellt. Die Implementierung gilt sowohl für persistente als auch für nicht-persistente Kataloge. Die nicht-persistenten Kataloge werden aktualisiert, wenn die Instanzen aus der Vorlage neu erstellt werden. Für vorhandene persistente Maschinen können Sie das Flag in der Google Cloud Console festlegen. Weitere Informationen zum Festlegen des Flags finden Sie auf der Google-Dokumentationsseite. Neue Maschinen, die zu persistenten Katalogen hinzugefügt werden, werden mit aktiviertem deletionProtection erstellt.
Wenn Sie versuchen, eine VM-Instanz zu löschen, für die Sie das Flag deletionProtection gesetzt haben, schlägt die Anforderung fehl. Wenn Ihnen jedoch die Berechtigung compute.instances.setDeletionProtection erteilt oder die IAM-Rolle Compute-Administrator zugewiesen wurde, können Sie das Flag zurücksetzen, um das Löschen der Ressource zuzulassen.

Manuell erstellte Google Cloud-Maschinen importieren

Sie können eine Verbindung zu Google Cloud herstellen und dann einen Katalog mit Google Cloud-Maschinen erstellen. Anschließend können Sie Google Cloud-Maschinen manuell über Citrix DaaS neu starten. Mit dieser Funktion können Sie:
  • Manuell erstellte Google Cloud-Multi-Session-Betriebssystemmaschinen in einen Citrix Virtual Apps and Desktops-Maschinenkatalog importieren.
  • Manuell erstellte Google Cloud-Multi-Session-Betriebssystemmaschinen aus einem Citrix Virtual Apps and Desktops-Katalog entfernen.
  • Vorhandene Energieverwaltungsfunktionen von Citrix Virtual Apps and Desktops verwenden, um Google Cloud Windows-Multi-Session-Betriebssystemmaschinen zu verwalten. Legen Sie beispielsweise einen Neustartzeitplan für diese Maschinen fest.
Diese Funktionalität erfordert keine Änderungen an einem bestehenden Citrix Virtual Apps and Desktops-Bereitstellungsworkflow oder die Entfernung vorhandener Funktionen. Wir empfehlen, MCS zum Bereitstellen von Maschinen in Web Studio zu verwenden, anstatt manuell erstellte Google Cloud-Maschinen zu importieren.

Freigegebene Virtual Private Cloud

Freigegebene Virtual Private Clouds (VPCs) bestehen aus einem Hostprojekt, von dem die freigegebenen Subnetze zur Verfügung gestellt werden, und einem oder mehreren Dienstprojekten, die die Ressource nutzen. Freigegebene VPCs sind wünschenswerte Optionen für größere Installationen, da sie eine zentralisierte Steuerung, Nutzung und Verwaltung freigegebener Google Cloud-Ressourcen des Unternehmens ermöglichen. Weitere Informationen finden Sie auf der Google-Dokumentationsseite.
Mit dieser Funktion unterstützt Machine Creation Services™ (MCS) die Bereitstellung und Verwaltung von Maschinenkatalogen, die in Shared VPCs bereitgestellt werden. Diese Unterstützung, die funktional der derzeit in lokalen VPCs bereitgestellten Unterstützung entspricht, unterscheidet sich in zwei Bereichen:
  1. Sie müssen dem Dienstkonto, das zum Erstellen der Hostverbindung verwendet wird, zusätzliche Berechtigungen erteilen. Dieser Prozess ermöglicht MCS den Zugriff auf und die Nutzung von Shared VPC-Ressourcen.
  2. Sie müssen zwei Firewallregeln erstellen, jeweils eine für eingehenden und eine für ausgehenden Datenverkehr. Diese Firewallregeln werden während des Image-Mastering-Prozesses verwendet.

Neue erforderliche Berechtigungen

Ein Google Cloud-Dienstkonto mit spezifischen Berechtigungen ist erforderlich, wenn die Hostverbindung erstellt wird. Diese zusätzlichen Berechtigungen müssen allen Dienstkonten erteilt werden, die zum Erstellen von Shared VPC-basierten Hostverbindungen verwendet werden.
Tipp:
Diese zusätzlichen Berechtigungen sind für Citrix DaaS nicht neu. Sie werden verwendet, um die Implementierung lokaler VPCs zu erleichtern. Bei freigegebenen VPCs ermöglichen diese zusätzlichen Berechtigungen den Zugriff auf andere freigegebene VPC-Ressourcen.
Der mit der Hostverbindung verknüpften Dienstkonto müssen maximal vier zusätzliche Berechtigungen erteilt werden, um Shared VPC zu unterstützen:
  1. compute.firewalls.list – Diese Berechtigung ist obligatorisch. Sie ermöglicht MCS, die Liste der in der Shared VPC vorhandenen Firewallregeln abzurufen.
  2. compute.networks.list – Diese Berechtigung ist obligatorisch. Sie ermöglicht MCS, die für das Dienstkonto verfügbaren Shared VPC-Netzwerke zu identifizieren.
  3. compute.subnetworks.list – Diese Berechtigung ist optional, je nachdem, wie Sie VPCs verwenden. Sie ermöglicht MCS, die Subnetze innerhalb der sichtbaren Shared VPCs zu identifizieren. Diese Berechtigung ist bereits bei der Verwendung lokaler VPCs erforderlich, muss aber auch im Shared VPC-Hostprojekt zugewiesen werden.
  4. compute.subnetworks.use – Diese Berechtigung ist optional, je nachdem, wie Sie VPCs verwenden. Sie ist erforderlich, um Subnetzressourcen in den bereitgestellten Maschinenkatalogen zu verwenden. Diese Berechtigung ist bereits für die Verwendung lokaler VPCs erforderlich, muss aber auch im Shared VPC-Hostprojekt zugewiesen werden.
Beachten Sie bei der Verwendung dieser Berechtigungen, dass es unterschiedliche Ansätze gibt, die auf der Art der Berechtigung basieren, die zum Erstellen des Maschinenkatalogs verwendet wird:
  • Berechtigung auf Projektebene:
    • Ermöglicht den Zugriff auf alle Shared VPCs innerhalb des Hostprojekts.
    • Erfordert, dass die Berechtigungen #3 und #4 dem Dienstkonto zugewiesen werden müssen.
  • Berechtigung auf Subnetzebene:
    • Ermöglicht den Zugriff auf bestimmte Subnetze innerhalb der Shared VPC.
    • Berechtigungen #3 und #4 sind der Zuweisung auf Subnetzebene inhärent und müssen daher nicht direkt dem Dienstkonto zugewiesen werden.
Wählen Sie den Ansatz, der Ihren organisatorischen Anforderungen und Sicherheitsstandards entspricht.
Tipp:
Weitere Informationen zu den Unterschieden zwischen Berechtigungen auf Projektebene und Subnetzebene finden Sie in der Google Cloud-Dokumentation.

Firewallregeln

Während der Vorbereitung eines Maschinenkatalogs wird ein Maschinenimage vorbereitet, das als Systemdatenträger des Masterimages für den Katalog dient. Wenn dieser Prozess stattfindet, wird der Datenträger vorübergehend an eine virtuelle Maschine angehängt. Diese VM muss in einer isolierten Umgebung ausgeführt werden, die jeglichen eingehenden und ausgehenden Netzwerkverkehr verhindert. Dies wird durch ein Paar von Deny-All-Firewallregeln erreicht; eine für eingehenden und eine für ausgehenden Datenverkehr. Bei Verwendung von lokalen Google Cloud VCPs erstellt MCS diese Firewall im lokalen Netzwerk und wendet sie auf die Maschine zur Mastererstellung an. Nach Abschluss der Mastererstellung wird die Firewallregel aus dem Image entfernt.
Wir empfehlen, die Anzahl der neuen Berechtigungen, die für die Verwendung von freigegebenen VPCs erforderlich sind, auf ein Minimum zu beschränken. Freigegebene VPCs sind übergeordnete Unternehmensressourcen und unterliegen in der Regel strengeren Sicherheitsprotokollen. Erstellen Sie aus diesem Grund ein Paar Firewallregeln im Hostprojekt für die freigegebenen VPC-Ressourcen, eine für eingehenden und eine für ausgehenden Datenverkehr. Weisen Sie ihnen die höchste Priorität zu. Wenden Sie auf jede dieser Regeln ein neues Ziel-Tag mit dem folgenden Wert an:
citrix-provisioning-quarantine-firewall
Wenn MCS einen Maschinenkatalog erstellt oder aktualisiert, sucht es nach Firewallregeln, die dieses Ziel-Tag enthalten. Anschließend überprüft es die Regeln auf Korrektheit und wendet sie auf die Maschine an, die zur Vorbereitung des Masterimages für den Katalog verwendet wird. Wenn die Firewallregeln nicht gefunden werden oder die Regeln gefunden werden, aber die Regeln oder ihre Prioritäten falsch sind, wird eine Meldung ähnlich der folgenden angezeigt:
"Unable to find valid INGRESS and EGRESS quarantine firewall rules for VPC <name> in project <project>. " Please ensure you have created 'deny all' firewall rules with the network tag 'citrix-provisioning-quarantine-firewall' and proper priority." "Refer to Citrix Documentation for details."

Konfigurieren der freigegebenen VPC

Bevor Sie die freigegebene VPC als Hostverbindung in Web Studio hinzufügen, führen Sie die folgenden Schritte aus, um Dienstkonten aus dem Projekt hinzuzufügen, in das Sie bereitstellen möchten:
  1. Erstellen Sie eine IAM-Rolle.
  2. Fügen Sie das Dienstkonto, das zum Erstellen einer CVAD-Hostverbindung verwendet wird, der IAM-Rolle des Shared VPC-Hostprojekts hinzu.
  3. Fügen Sie das Cloud Build-Dienstkonto aus dem Projekt, in das Sie bereitstellen möchten, der IAM-Rolle des Shared VPC-Hostprojekts hinzu.
  4. Erstellen Sie Firewallregeln.

IAM-Rolle erstellen

Bestimmen Sie die Zugriffsebene der Rolle — Zugriff auf Projektebene oder ein restriktiveres Modell mit Zugriff auf Subnetzebene.
Projektzugriff für IAM-Rolle. Für die IAM-Rolle auf Projektebene schließen Sie die folgenden Berechtigungen ein:
  • compute.firewalls.list
  • compute.networks.list
  • compute.subnetworks.list
  • compute.subnetworks.use
So erstellen Sie eine IAM-Rolle auf Projektebene:
  1. Navigieren Sie in der Google Cloud Console zu IAM & Admin > Rollen.
  2. Wählen Sie auf der Seite Roles die Option CREATE ROLE.
  3. Geben Sie auf der Seite Create Role den Rollennamen an. Wählen Sie ADD PERMISSIONS.
    1. Fügen Sie auf der Seite Berechtigungen hinzufügen die Berechtigungen einzeln zur Rolle hinzu. Um eine Berechtigung hinzuzufügen, geben Sie den Namen der Berechtigung in das Feld Tabelle filtern ein. Wählen Sie die Berechtigung aus und wählen Sie dann HINZUFÜGEN.
    2. Wählen Sie CREATE.
IAM-Rolle auf Subnetzebene. Diese Rolle lässt das Hinzufügen der Berechtigungen compute.subnetworks.list und compute.subnetworks.use nach der Auswahl von ROLLE ERSTELLEN weg. Für diese IAM-Zugriffsebene müssen die Berechtigungen compute.firewalls.list und compute.networks.list auf die neue Rolle angewendet werden.
So erstellen Sie eine IAM-Rolle auf Subnetzebene:
  1. Navigieren Sie in der Google Cloud Console zu VPC-Netzwerk > Shared VPC. Die Seite Shared VPC wird angezeigt und zeigt die Subnetze der Shared VPC-Netzwerke an, die das Hostprojekt enthält.
  2. Wählen Sie auf der Seite Shared VPC das Subnetz aus, auf das Sie zugreifen möchten.
  3. Wählen Sie oben rechts MITGLIED HINZUFÜGEN aus, um ein Dienstkonto hinzuzufügen.
  4. Führen Sie auf der Seite Mitglieder hinzufügen die folgenden Schritte aus:
    1. Geben Sie im Feld Neue Mitglieder den Namen Ihres Dienstkontos ein und wählen Sie dann Ihr Dienstkonto im Menü aus.
    2. Wählen Sie das Feld Rolle auswählen und dann Compute Network User aus.
    3. Wählen Sie SPEICHERN.
  5. Navigieren Sie in der Google Cloud Console zu IAM & Admin > Roles.
  6. Wählen Sie auf der Seite Roles die Option CREATE ROLE.
  7. Geben Sie auf der Seite Create Role den Rollennamen an. Wählen Sie ADD PERMISSIONS.
    1. Fügen Sie auf der Seite Add permissions einzeln Berechtigungen zur Rolle hinzu. Um eine Berechtigung hinzuzufügen, geben Sie den Namen der Berechtigung in das Feld Filter table ein. Wählen Sie die Berechtigung und dann ADD.
    2. Wählen Sie CREATE.

Dienstkonto zur IAM-Rolle des Hostprojekts hinzufügen

Führen Sie nach dem Erstellen einer IAM-Rolle die folgenden Schritte aus, um ein Dienstkonto für das Hostprojekt hinzuzufügen:
  1. Navigieren Sie in der Google Cloud Console zum Hostprojekt und dann zu IAM & Admin > IAM.
  2. Wählen Sie auf der Seite IAM die Option HINZUFÜGEN, um ein Dienstkonto hinzuzufügen.
  3. Auf der Seite Mitglieder hinzufügen:
    1. Geben Sie im Feld Neue Mitglieder den Namen Ihres Dienstkontos ein und wählen Sie dann Ihr Dienstkonto im Menü aus.
    2. Wählen Sie ein Rollenfeld aus, geben Sie die von Ihnen erstellte IAM-Rolle ein, und wählen Sie dann die Rolle im Menü aus.
    3. Wählen Sie SPEICHERN.
Das Dienstkonto ist jetzt für das Hostprojekt konfiguriert.

Hinzufügen des Cloud Build-Dienstkontos zur freigegebenen VPC

Jedes Google Cloud-Abonnement verfügt über ein Dienstkonto, das nach der Projekt-ID-Nummer benannt ist, gefolgt von cloudbuild.gserviceaccount. Beispiel: 705794712345@cloudbuild.gserviceaccount.
Sie können die Projekt-ID-Nummer für Ihr Projekt ermitteln, indem Sie in der Google Cloud Console Home und Dashboard auswählen:
Navigationsbereich der Google Cloud Console
Suchen Sie die Projektnummer unter dem Bereich Projektinformationen des Bildschirms.
Führen Sie die folgenden Schritte aus, um das Cloud Build-Dienstkonto zur freigegebenen VPC hinzuzufügen:
  1. Navigieren Sie in der Google Cloud Console zum Hostprojekt und dann zu IAM & Admin > IAM.
  2. Wählen Sie auf der Seite Berechtigungen die Option HINZUFÜGEN aus, um ein Konto hinzuzufügen.
  3. Führen Sie auf der Seite Mitglieder hinzufügen die folgenden Schritte aus:
    1. Geben Sie im Feld Neue Mitglieder den Namen des Cloud Build-Dienstkontos ein, und wählen Sie dann Ihr Dienstkonto im Menü aus.
    2. Wählen Sie das Feld Rolle auswählen aus, geben Sie Computer Network User ein, und wählen Sie dann die Rolle im Menü aus.
    3. Wählen Sie SPEICHERN.

Firewallregeln erstellen

Als Teil des Mastererstellungsprozesses kopiert MCS das ausgewählte Maschinenimage und verwendet es, um den Systemdatenträger des Masterimages für den Katalog vorzubereiten. Während der Mastererstellung hängt MCS den Datenträger an eine temporäre virtuelle Maschine an, die dann Vorbereitungsskripte ausführt. Diese VM muss in einer isolierten Umgebung ausgeführt werden, die jeglichen eingehenden und ausgehenden Netzwerkverkehr verbietet. Um eine isolierte Umgebung zu erstellen, benötigt MCS zwei Deny-All-Firewallregeln (eine Eingangsregel und eine Ausgangsregel). Erstellen Sie daher zwei Firewallregeln im Hostprojekt wie folgt:
  1. Navigieren Sie in der Google Cloud Console zum Hostprojekt und dann zu VPC-Netzwerk > Firewall.
  2. Wählen Sie auf der Seite Firewall die Option FIREWALLREGEL ERSTELLEN.
  3. Füllen Sie auf der Seite Firewallregel erstellen Folgendes aus:
    • Name. Geben Sie einen Namen für die Regel ein.
    • Netzwerk. Wählen Sie das Shared VPC-Netzwerk aus, für das die Eingangs-Firewallregel gilt.
    • Priorität. Je kleiner der Wert, desto höher die Priorität der Regel. Wir empfehlen einen kleinen Wert (z. B. 10).
    • Verkehrsrichtung. Wählen Sie Eingang.
    • Aktion bei Übereinstimmung. Wählen Sie Verweigern.
    • Ziele. Verwenden Sie die Standardeinstellung Angegebene Ziel-Tags.
    • Ziel-Tags. Geben Sie citrix-provisioning-quarantine-firewall ein.
    • Quellfilter. Verwenden Sie die Standardeinstellung IP-Bereiche.
    • Quell-IP-Bereiche. Geben Sie einen Bereich ein, der den gesamten Datenverkehr abdeckt. Geben Sie 0.0.0.0/0 ein.
    • Protokolle und Ports. Wählen Sie Alle verweigern.
  4. Wählen Sie ERSTELLEN, um die Regel zu erstellen.
  5. Wiederholen Sie die Schritte 1–4, um eine weitere Regel zu erstellen. Wählen Sie für Richtung des Datenverkehrs die Option Ausgehend.

Verbindung hinzufügen

Fügen Sie eine Verbindung zu den Google Cloud-Umgebungen hinzu. Siehe Verbindung hinzufügen.

Zonenauswahl aktivieren

Citrix Virtual Apps and Desktops unterstützt die Zonenauswahl. Mit der Zonenauswahl geben Sie die Zonen an, in denen Sie VMs erstellen möchten. Mit der Zonenauswahl können Administratoren Sole-Tenant-Knoten in Zonen ihrer Wahl platzieren. Um die Sole Tenancy zu konfigurieren, müssen Sie Folgendes in Google Cloud ausführen:
  • Einen Google Cloud Sole-Tenant-Knoten reservieren
  • VDA-Masterimage erstellen

Reservieren eines Google Cloud Sole-Tenant-Knotens

Informationen zum Reservieren eines Sole-Tenant-Knotens finden Sie in der Google Cloud-Dokumentation.
Wichtig:
Eine Knotenvorlage wird verwendet, um Leistungsmerkmale des Systems anzugeben, das in der Knotengruppe reserviert ist. Zu diesen Merkmalen gehören die Anzahl der vGPUs, die dem Knoten zugewiesene Speichermenge und der Maschinentyp, der für auf dem Knoten erstellte Maschinen verwendet wird. Weitere Informationen finden Sie in der Google Cloud-Dokumentation.

Erstellen des VDA-Masterimages

Um Maschinen erfolgreich auf dem Sole-Tenant-Knoten bereitzustellen, müssen Sie beim Erstellen eines Master-VM-Images zusätzliche Schritte ausführen. Maschineninstanzen in Google Cloud haben eine Eigenschaft namens Knotenaffinitätsbezeichnungen. Instanzen, die als Masterimages für Kataloge verwendet werden, die auf dem Sole-Tenant-Knoten bereitgestellt werden, erfordern eine Knotenaffinitätsbezeichnung, die mit dem Namen der Zielknotengruppe übereinstimmt. Beachten Sie hierzu Folgendes:
Hinweis:
Wenn Sie Sole Tenancy mit einer freigegebenen VPC verwenden möchten, lesen Sie Shared Virtual Private Cloud.

Festlegen eines Knotenaffinitätslabels beim Erstellen einer Instanz

So legen Sie das Knotenaffinitätslabel fest:
  1. Navigieren Sie in der Google Cloud Console zu Compute Engine > VM-Instanzen.
  2. Wählen Sie auf der Seite VM-Instanzen die Option Instanz erstellen.
  3. Geben oder konfigurieren Sie auf der Seite Instanzerstellung die erforderlichen Informationen und wählen Sie dann Verwaltung, Sicherheit, Datenträger, Netzwerk, Sole Tenancy, um das Einstellungsfenster zu öffnen.
  4. Wählen Sie auf der Registerkarte Sole Tenancy die Option Durchsuchen, um die verfügbaren Knotengruppen im aktuellen Projekt anzuzeigen. Die Seite Sole-Tenant-Knoten wird angezeigt und zeigt eine Liste der verfügbaren Knotengruppen.
  5. Wählen Sie auf der Seite Sole-Tenant-Knoten die entsprechende Knotengruppe aus der Liste und dann Auswählen, um zur Registerkarte Sole Tenancy zurückzukehren. Das Feld für die Knotenaffinitätslabels wird mit den von Ihnen ausgewählten Informationen gefüllt. Diese Einstellung stellt sicher, dass aus der Instanz erstellte Maschinenkataloge in der ausgewählten Knotengruppe bereitgestellt werden.
  6. Wählen Sie Erstellen, um die Instanz zu erstellen.

Ein Knotenaffinitätslabel für eine vorhandene Instanz festlegen

So legen Sie das Knotenaffinitätslabel fest:
  1. Verwenden Sie im Google Cloud Shell-Terminalfenster den Befehl gcloud compute instances, um ein Knotenaffinitätslabel festzulegen. Fügen Sie die folgenden Informationen in den Befehl gcloud ein:
    • Name der VM. Verwenden Sie beispielsweise eine vorhandene VM mit dem Namen s*2019-vda-base.*
    • Name der Knotengruppe. Verwenden Sie den zuvor erstellten Knotengruppennamen. Zum Beispiel mh-sole-tenant-node-group-1.
    • Die Zone, in der sich die Instanz befindet. Die VM befindet sich beispielsweise in der *us-east-1b* zone.
    Geben Sie beispielsweise den folgenden Befehl im Terminalfenster ein:
    • gcloud compute instances set-scheduling "s2019-vda-base" --node-group="mh-sole-tenant-node-group-1" --zone="us-east1-b"
    Weitere Informationen zum Befehl gcloud compute instances finden Sie in der Google Developer Tools-Dokumentation unter <https://cloud.google.com/sdk/gcloud/reference/beta/compute/instances/set-scheduling>.
  2. Navigieren Sie zur Seite VM instance details der Instanz und überprüfen Sie, ob das Feld Node Affinities mit dem Label gefüllt ist.

Maschinenkatalog erstellen

Nachdem Sie das Knotenaffinitätslabel festgelegt haben, konfigurieren Sie den Maschinenkatalog.

Vorschau: Verwenden von kundenseitig verwalteten Verschlüsselungsschlüsseln (CMEK)

Sie können kundenseitig verwaltete Verschlüsselungsschlüssel (CMEK) für MCS-Kataloge verwenden. Bei Verwendung dieser Funktionalität weisen Sie dem Compute Engine Service Agent die Rolle Google Cloud Key Management Service CryptoKey Encrypter/Decrypter zu. Das Citrix DaaS-Konto muss über die richtigen Berechtigungen in dem Projekt verfügen, in dem der Schlüssel gespeichert ist. Weitere Informationen finden Sie unter Schutz von Ressourcen mithilfe von Cloud KMS-Schlüsseln.
Ihr Compute Engine-Dienst-Agent hat das folgende Format: service-<Project _Number>@compute-system.iam.gserviceaccount.com. Dieses Format unterscheidet sich vom Standard-Compute Engine-Dienstkonto.
Hinweis:
Dieses Compute Engine-Dienstkonto wird möglicherweise nicht in der Google Console-Anzeige IAM-Berechtigungen angezeigt. Verwenden Sie in solchen Fällen den Befehl gcloud, wie unter Schutz von Ressourcen mithilfe von Cloud KMS-Schlüsseln beschrieben.

Berechtigungen für Citrix DaaS-Konto zuweisen

Google Cloud KMS-Berechtigungen können auf verschiedene Arten konfiguriert werden. Sie können entweder KMS-Berechtigungen auf Projektebene oder KMS-Berechtigungen auf Ressourcenebene bereitstellen. Weitere Informationen finden Sie unter Berechtigungen und Rollen.

Berechtigungen auf Projektebene

Eine Möglichkeit besteht darin, dem Citrix DaaS-Konto Berechtigungen auf Projektebene zum Durchsuchen von Cloud KMS-Ressourcen zu erteilen. Erstellen Sie dazu eine benutzerdefinierte Rolle und fügen Sie die folgenden Berechtigungen hinzu:
  • cloudkms.keyRings.list
  • cloudkms.keyRings.get
  • cloudkms.cryptokeys.list
  • cloudkms.cryptokeys.get
Weisen Sie Ihrem Citrix DaaS-Konto diese benutzerdefinierte Rolle zu. Dies ermöglicht Ihnen, regionale Schlüssel im entsprechenden Projekt im Inventar zu durchsuchen.

Berechtigungen auf Ressourcenebene

Für die andere Option, Berechtigungen auf Ressourcenebene, navigieren Sie in der Google Cloud Console zu cryptoKey, die Sie für die MCS-Bereitstellung verwenden. Fügen Sie das Citrix DaaS-Konto einem Schlüsselbund oder einem Schlüssel hinzu, den Sie für die Katalogbereitstellung verwenden.
Tipp:
Mit dieser Option können Sie keine regionalen Schlüssel für Ihr Projekt im Inventar durchsuchen, da das Citrix DaaS-Konto keine Listenberechtigungen auf Projektebene für die Cloud KMS-Ressourcen besitzt. Sie können jedoch weiterhin einen Katalog mit CMEK bereitstellen, indem Sie die korrekten cryptoKeyId in den benutzerdefinierten Eigenschaften ProvScheme angeben, wie unten beschrieben.

Bereitstellung mit CMEK unter Verwendung benutzerdefinierter Eigenschaften

Wenn Sie Ihr Bereitstellungsschema über PowerShell erstellen, geben Sie eine CryptoKeyId-Eigenschaft in ProvScheme CustomProperties an. Zum Beispiel:
'<CustomProperties xmlns="http://schemas.citrix.com/2014/xd/machinecreation" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
    <Property xsi:type="StringProperty" Name="CryptoKeyId" Value="<yourCryptoKeyId>" />
</CustomProperties>'
Der cryptoKeyId muss im folgenden Format angegeben werden:
projectId:location:keyRingName:cryptoKeyName
Wenn Sie beispielsweise den Schlüssel my-example-key im Schlüsselbund my-example-key-ring in der Region us-east1 und im Projekt mit der ID my-example-project-1 verwenden möchten, würden Ihre benutzerdefinierten ProvScheme-Einstellungen wie folgt aussehen:
'<CustomProperties xmlns="http://schemas.citrix.com/2014/xd/machinecreation" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
    <Property xsi:type="StringProperty" Name="CryptoKeyId" Value="my-example-project-1:us-east1:my-example-key-ring:my-example-key" />
</CustomProperties>'
Alle von MCS bereitgestellten Datenträger und Images, die mit diesem Bereitstellungsschema zusammenhängen, verwenden diesen vom Kunden verwalteten Verschlüsselungsschlüssel.
Tipp:
Wenn Sie globale Schlüssel verwenden, muss der Speicherort der Kundeneigenschaften global und nicht der Regionsname lauten, der im obigen Beispiel us-east1 ist. Zum Beispiel: <Property xsi:type="StringProperty" Name="CryptoKeyId" Value="my-example-project-1:global:my-example-key-ring:my-example-key" />.

Schlüsselrotation für vom Kunden verwaltete Schlüssel

Google Cloud unterstützt die Rotation von Schlüsseln auf vorhandenen persistenten Datenträgern oder Images nicht. Sobald eine Maschine bereitgestellt ist, ist sie an die Schlüsselversion gebunden, die zum Zeitpunkt ihrer Erstellung verwendet wurde. Es kann jedoch eine neue Version des Schlüssels erstellt werden, und dieser neue Schlüssel wird für neu bereitgestellte Maschinen oder Ressourcen verwendet, die erstellt werden, wenn ein Katalog mit einem neuen Master-Image aktualisiert wird.

Wichtige Überlegungen zu Schlüsselbunden

Schlüsselbunde können nicht umbenannt oder gelöscht werden. Außerdem können bei deren Konfiguration unvorhergesehene Kosten entstehen. Beim Löschen oder Entfernen eines Schlüsselbunds zeigt Google Cloud eine Fehlermeldung an:
Sorry, you can't delete or rename keys or key rings. We were concerned about the security implications of allowing multiple keys or key versions over time to have the same resource name, so we decided to make names immutable. (And you can't delete them, because we wouldn't be able to do a true deletion--there would still have to be a tombstone tracking that this name had been used and couldn't be reused).
We're aware that this can make things untidy, but we have no immediate plans to change this.
If you want to avoid getting billed for a key or otherwise make it unavailable, you can do so by deleting all the key versions; neither keys nor key rings are billed for, just the active key versions within the keys.
Tipp:
Weitere Informationen finden Sie unter Einen Schlüsselbund über die Konsole bearbeiten oder löschen.

Kompatibilität mit einheitlichem Zugriff auf Bucket-Ebene

Citrix DaaS ist mit der einheitlichen Zugriffssteuerungsrichtlinie auf Bucket-Ebene in Google Cloud kompatibel. Diese Funktionalität erweitert die Verwendung der IAM-Richtlinie, die einem Dienstkonto Berechtigungen zur Bearbeitung von Ressourcen, einschließlich Speicher-Buckets, erteilt. Mit der einheitlichen Zugriffssteuerung auf Bucket-Ebene können Sie mit Citrix DaaS eine Zugriffssteuerungsliste (ACL) verwenden, um den Zugriff auf Speicher-Buckets oder darin gespeicherte Objekte zu steuern. Eine Übersicht über den einheitlichen Zugriff auf Bucket-Ebene in Google Cloud finden Sie unter Einheitlicher Zugriff auf Bucket-Ebene. Konfigurationsinformationen finden Sie unter Einheitlichen Zugriff auf Bucket-Ebene anfordern.

Dienstendpunkt-URLs

Sie müssen Zugriff auf die folgenden URLs haben:
  • https://oauth2.googleapis.com
  • https://cloudresourcemanager.googleapis.com
  • https://compute.googleapis.com
  • https://storage.googleapis.com
  • https://cloudbuild.googleapis.com

Google Cloud-Projekte

Es gibt grundsätzlich zwei Arten von Google Cloud-Projekten:
  • Bereitstellungsprojekt: In diesem Fall besitzt das aktuelle Administratorkonto die bereitgestellten Maschinen in diesem Projekt. Dieses Projekt wird auch als lokales Projekt bezeichnet.
  • Shared VPC-Projekt: Projekt, in dem in dem Bereitstellungsprojekt erstellte Maschinen die VPC aus dem Shared VPC-Projekt verwenden. Das für das Bereitstellungsprojekt verwendete Administratorkonto hat in diesem Projekt eingeschränkte Berechtigungen, insbesondere nur Berechtigungen zur Nutzung der VPC.

Erforderliche GCP-Berechtigungen

Dieser Abschnitt enthält die vollständige Liste der GCP-Berechtigungen. Verwenden Sie den vollständigen Satz von Berechtigungen, wie er in diesem Abschnitt angegeben ist, damit die Funktionalität korrekt funktioniert.
Hinweis:
GCP führt nach April 29, 2024 Änderungen am Standardverhalten und der Verwendung von Dienstkonten von Cloud Build Services ein. Weitere Informationen finden Sie unter Cloud Build Service Account Change. Ihre bestehenden Google-Projekte, bei denen die Cloud Build API vor April 29, 2024 aktiviert wurde, sind von dieser Änderung nicht betroffen. Wenn Sie jedoch das bestehende Verhalten des Cloud Build-Dienstes nach April 29 beibehalten möchten, können Sie die Organisationsrichtlinie erstellen oder anwenden, um die Erzwingung der Einschränkung zu deaktivieren, bevor Sie die API aktivieren. Wenn Sie die neue Organisationsrichtlinie festlegen, können Sie weiterhin die bestehenden Berechtigungen in diesem Abschnitt und die Elemente befolgen, die als Before Cloud Build Service Account Change gekennzeichnet sind. Andernfalls befolgen Sie die bestehenden Berechtigungen und Elemente, die als After Cloud Build Service Account Change gekennzeichnet sind.

Erstellen einer Hostverbindung

  • Mindestberechtigungen, die für das Citrix Cloud-Dienstkonto im Bereitstellungsprojekt erforderlich sind:
    compute.instanceTemplates.list
    compute.instances.list
    compute.networks.list
    compute.projects.get
    compute.regions.list
    compute.subnetworks.list
    compute.zones.list
    resourcemanager.projects.get
    Die folgenden von Google definierten Rollen verfügen über die oben aufgeführten Berechtigungen:
    • Compute-Administrator
    • Cloud Datastore-Benutzer
  • Zusätzliche Berechtigungen, die für Shared VPC für das Citrix Cloud-Dienstkonto im Shared VPC-Projekt erforderlich sind:
    compute.networks.list
    compute.subnetworks.list
    resourcemanager.projects.get
    Die folgenden von Google definierten Rollen verfügen über die oben aufgeführten Berechtigungen:
    • Compute Network-Benutzer

Energieverwaltung von VMs

Mindestberechtigungen, die für das Citrix Cloud-Dienstkonto im Bereitstellungsprojekt für ausschließlich energieverwaltete Kataloge erforderlich sind:
compute.instanceTemplates.list
compute.instances.list
compute.instances.get
compute.instances.reset
compute.instances.resume
compute.instances.start
compute.instances.stop
compute.instances.suspend
compute.networks.list
compute.projects.get
compute.regions.list
compute.subnetworks.list
compute.zones.list
resourcemanager.projects.get
compute.zoneOperations.get
Die folgenden von Google definierten Rollen verfügen über die oben aufgeführten Berechtigungen:
  • Compute-Administrator
  • Cloud Datastore-Benutzer

Erstellen, Aktualisieren oder Löschen von VMs

  • Mindestberechtigungen, die für das Citrix Cloud-Dienstkonto im Bereitstellungsprojekt erforderlich sind:
    cloudbuild.builds.create
    cloudbuild.builds.get
    cloudbuild.builds.list
    compute.acceleratorTypes.list
    compute.diskTypes.get
    compute.diskTypes.list
    compute.disks.create
    compute.disks.createSnapshot
    compute.disks.delete
    compute.disks.get
    compute.disks.list
    compute.disks.setLabels
    compute.disks.use
    compute.disks.useReadOnly
    compute.firewalls.create
    compute.firewalls.delete
    compute.firewalls.list
    compute.globalOperations.get
    compute.images.create
    compute.images.delete
    compute.images.get
    compute.images.list
    compute.images.setLabels
    compute.images.useReadOnly
    compute.instanceTemplates.create
    compute.instanceTemplates.delete
    compute.instanceTemplates.get
    compute.instanceTemplates.list
    compute.instanceTemplates.useReadOnly
    compute.instances.attachDisk
    compute.instances.create
    compute.instances.delete
    compute.instances.detachDisk
    compute.instances.get
    compute.instances.list
    compute.instances.reset
    compute.instances.resume
    compute.instances.setDeletionProtection
    compute.instances.setLabels
    compute.instances.setMetadata
    compute.instances.setServiceAccount
    compute.instances.setTags
    compute.instances.start
    compute.instances.stop
    compute.instances.suspend
    compute.machineTypes.get
    compute.machineTypes.list
    compute.networks.list
    compute.networks.updatePolicy
    compute.nodeGroups.list
    compute.nodeTemplates.get
    compute.projects.get
    compute.regions.list
    compute.snapshots.create
    compute.snapshots.delete
    compute.snapshots.list
    compute.snapshots.get
    compute.snapshots.setLabels
    compute.snapshots.useReadOnly
    compute.subnetworks.get
    compute.subnetworks.list
    compute.subnetworks.use
    compute.zoneOperations.get
    compute.zoneOperations.list
    compute.zones.get
    compute.zones.list
    iam.serviceAccounts.actAs
    resourcemanager.projects.get
    storage.buckets.create
    storage.buckets.delete
    storage.buckets.get
    storage.buckets.list
    storage.buckets.update
    storage.objects.create
    storage.objects.delete
    storage.objects.get
    storage.objects.list
    compute.networks.get
    compute.resourcePolicies.use
    Die folgenden von Google definierten Rollen verfügen über die oben aufgeführten Berechtigungen:
    • Compute-Administrator
    • Speicher-Administrator
    • Cloud Build-Editor
    • Dienstkontobenutzer
    • Cloud Datastore-Benutzer
  • Zusätzliche Berechtigungen, die für Shared VPC für das Citrix Cloud-Dienstkonto im Shared VPC-Projekt erforderlich sind, um eine Hosting-Einheit unter Verwendung von VPC und Subnetzwerk aus dem Shared VPC-Projekt zu erstellen:
    compute.firewalls.list
    compute.networks.list
    compute.projects.get
    compute.regions.list
    compute.subnetworks.get
    compute.subnetworks.list
    compute.subnetworks.use
    compute.zones.list
    resourcemanager.projects.get
    Die folgenden von Google definierten Rollen verfügen über die oben aufgeführten Berechtigungen:
    • Compute Network-Benutzer
    • Cloud Datastore-Benutzer
  • (Vor der Änderung des Cloud Build-Dienstkontos): Mindestberechtigungen, die für das Cloud Build-Dienstkonto im Bereitstellungsprojekt vom Google Cloud Build-Dienst beim Herunterladen der Vorbereitungsanweisungsdisk auf MCS erforderlich sind:
  • (Nach der Änderung des Cloud Build-Dienstkontos): Mindestberechtigungen, die für das Cloud Compute-Dienstkonto im Bereitstellungsprojekt vom Google Cloud Compute-Dienst beim Herunterladen der Vorbereitungsanweisungsdisk auf MCS erforderlich sind:
    compute.disks.create
    compute.disks.delete
    compute.disks.get
    compute.disks.list
    compute.disks.setLabels
    compute.disks.use
    compute.disks.useReadOnly
    compute.images.get
    compute.images.list
    compute.images.useReadOnly
    compute.instances.create
    compute.instances.delete
    compute.instances.get
    compute.instances.getSerialPortOutput
    compute.instances.list
    compute.instances.setLabels
    compute.instances.setMetadata
    compute.instances.setServiceAccount
    compute.machineTypes.list
    compute.networks.get
    compute.networks.list
    compute.projects.get
    compute.subnetworks.list
    compute.subnetworks.use
    compute.subnetworks.useExternalIp
    compute.zoneOperations.get
    compute.zones.list
    iam.serviceAccounts.actAs
    logging.logEntries.create
    pubsub.topics.publish
    resourcemanager.projects.get
    source.repos.get
    source.repos.list
    storage.buckets.create
    storage.buckets.get
    storage.buckets.list
    storage.objects.create
    storage.objects.delete
    storage.objects.get
    storage.objects.list
    Die folgenden von Google definierten Rollen verfügen über die oben aufgeführten Berechtigungen:
    • Cloud Build-Dienstkonto (Nach der Änderung des Cloud Build-Dienstkontos ist es das Cloud Compute-Dienstkonto)
    • Compute Instance-Administrator
    • Dienstkontobenutzer
  • Mindestberechtigungen, die für das Cloud Compute-Dienstkonto im Bereitstellungsprojekt vom Google Cloud Build-Dienst beim Herunterladen der Vorbereitungsanweisungsdisk auf MCS erforderlich sind:
    resourcemanager.projects.get
    storage.objects.create
    storage.objects.get
    storage.objects.list
    Die folgenden von Google definierten Rollen verfügen über die oben aufgeführten Berechtigungen:
    • Compute Network-Benutzer
    • Speicherkontobenutzer
    • Cloud Datastore-Benutzer
  • (Vor der Änderung des Cloud Build-Dienstkontos): Zusätzliche Berechtigungen, die für Shared VPC für das Cloud Build-Dienstkonto im Bereitstellungsprojekt vom Google Cloud Build-Dienst beim Herunterladen der Vorbereitungsanweisungsdisk auf MCS erforderlich sind:
  • (Nach der Änderung des Cloud Build-Dienstkontos): Zusätzliche Berechtigungen, die für Shared VPC für das Cloud Compute-Dienstkonto im Bereitstellungsprojekt vom Google Cloud Compute-Dienst beim Herunterladen der Vorbereitungsanweisungsdisk auf MCS erforderlich sind:
    compute.firewalls.list
    compute.networks.list
    compute.subnetworks.list
    compute.subnetworks.use
    resourcemanager.projects.get
    Die folgenden von Google definierten Rollen verfügen über die oben aufgeführten Berechtigungen:
    • Compute Network-Benutzer
    • Speicherkontobenutzer
    • Cloud Datastore-Benutzer
  • Zusätzliche Berechtigungen, die für den Cloud Key Management Service (KMS) für das Citrix Cloud-Dienstkonto im Bereitstellungsprojekt erforderlich sind:
    cloudkms.cryptoKeys.get
    cloudkms.cryptoKeys.list
    cloudkms.keyRings.get
    cloudkms.keyRings.list
    Die folgenden von Google definierten Rollen verfügen über die oben aufgeführten Berechtigungen:
    • Compute KMS-Betrachter

Allgemeine Berechtigungen

Im Folgenden sind die Berechtigungen für das Citrix Cloud-Dienstkonto im Bereitstellungsprojekt für alle in MCS unterstützten Funktionen aufgeführt. Diese Berechtigungen bieten die beste Kompatibilität für die Zukunft:
resourcemanager.projects.get
cloudbuild.builds.create
cloudbuild.builds.get
cloudbuild.builds.list
compute.acceleratorTypes.list
compute.diskTypes.get
compute.diskTypes.list
compute.disks.create
compute.disks.createSnapshot
compute.disks.delete
compute.disks.get
compute.disks.setLabels
compute.disks.use
compute.disks.useReadOnly
compute.firewalls.create
compute.firewalls.delete
compute.firewalls.list
compute.globalOperations.get
compute.images.create
compute.images.delete
compute.images.get
compute.images.list
compute.images.setLabels
compute.images.useReadOnly
compute.instanceTemplates.create
compute.instanceTemplates.delete
compute.instanceTemplates.get
compute.instanceTemplates.list
compute.instanceTemplates.useReadOnly
compute.instances.attachDisk
compute.instances.create
compute.instances.delete
compute.instances.detachDisk
compute.instances.get
compute.instances.list
compute.instances.reset
compute.instances.resume
compute.instances.setDeletionProtection
compute.instances.setLabels
compute.instances.setMetadata
compute.instances.setTags
compute.instances.start
compute.instances.stop
compute.instances.suspend
compute.instances.update
compute.instances.updateAccessConfig
compute.instances.updateDisplayDevice
compute.instances.updateSecurity
compute.instances.updateShieldedInstanceConfig
compute.instances.updateShieldedVmConfig
compute.machineTypes.get
compute.machineTypes.list
compute.networks.list
compute.networks.updatePolicy
compute.nodeGroups.list
compute.nodeTemplates.get
compute.projects.get
compute.regions.list
compute.snapshots.create
compute.snapshots.delete
compute.snapshots.list
compute.snapshots.get
compute.snapshots.setLabels
compute.snapshots.useReadOnly
compute.subnetworks.get
compute.subnetworks.list
compute.subnetworks.use
compute.subnetworks.useExternalIp
compute.zoneOperations.get
compute.zoneOperations.list
compute.zones.get
compute.zones.list
resourcemanager.projects.get
storage.buckets.create
storage.buckets.delete
storage.buckets.get
storage.buckets.list
storage.buckets.update
storage.objects.create
storage.objects.delete
storage.objects.get
storage.objects.list
cloudkms.cryptoKeys.get
cloudkms.cryptoKeys.list
cloudkms.keyRings.get
cloudkms.keyRings.list
compute.disks.list
compute.instances.setServiceAccount
compute.networks.get
compute.networks.use
compute.networks.useExternalIp
iam.serviceAccounts.actAs
compute.resourcePolicies.use

Weitere Informationen