java - 限制 App Engine 访问自定义域上的 G Suite 帐户

Question

不久前，Google Apps(现在称为 G Suite)域的 App Engine 相关设置已移至 Google Cloud Console。

截至目前，已记录的限制关联 G Suite 用户访问 App Engine 实例的方法是通过此 Google Cloud Console 页面:

当您点击该页面中的 [编辑] 时，在“Google 身份验证”下，您可以在“Google 帐户 API”和“Google Apps 域”(实际上应该称为“G Suite 域”)之间切换。

下拉框下方有一个输入框，但没有说明应该在那里输入什么。通过反复试验，我发现它应该是关联的 G Suite 的域名。

在部署到 App Engine 的最小 Hello World 应用程序中，我们将身份验证选项设置为:

login: required

请注意，我们应用程序的某些服务是用 Python 编写的，其他服务是用 Java 编写的。

通过 [project-id].appspot.com 主机名访问应用引擎实例工作正常，谷歌将提示相关 G Suite 的凭据，并通过身份验证过程适本地重定向到目标路径名。

问题是，当通过自定义域访问 App Engine 实例时，身份验证根本不起作用。这将显示 500，并且服务器日志显示为:

Authentication for the Google Apps domain example.com can only be performed when requests are served from a subdomain of that domain or it has been approved through the Google Apps Control Panel. See https://developers.google.com/appengine/articles/auth

该错误消息中的链接页面不再存在，即它已被替换为一般描述身份验证的页面。从在线缓存中提取旧页面，我可以看到它描述了将 App Engine 项目添加到 Google Apps 服务页面的旧 Google Apps 方法，但截至目前，此功能已被删除或迁移到 Google Cloud Console。

就其值(value)而言，Google 支持除了向我指出上述屏幕截图页面的文档外，无法提供任何帮助。

这里有人设法限制 App Engine 通过自定义域访问 G Suite 帐户吗？还是这个功能刚刚坏了？

特别是我正在寻找在 Python 和/或 Java GAE 应用程序的上下文中解决此问题的答案，以及在需要时演示如何以编程方式解决此问题的代码。

Answer 1

这似乎是 Google Apps 域身份验证的一个已知问题，如果您启用 Google Apps 域身份验证之后将域添加到控制台。

解决方法是从“自定义域”中删除自定义域映射，然后在为该域启用 Google Apps 域身份验证后重新添加它。文档页面 Using Custom Domains and SSL将进行更新以反射(reflect)这一点。