google-app-engine - 如何限制计算引擎只接受来自应用引擎的请求

Question

我在 Google App engine 上运行我的服务器，我使用 nodejs 并且我有所有其他服务，如 mongoDB、Elasticsearch 和 Redis部署在 Compute engine 上。

现在，出于安全考虑，在所有数据库实例(MongoDB、ES、Redis)上，我不想接受来自任何地方的请求，而只接受来自 App engine 的请求。

有什么我可以使用 VPN 或网络或防火墙(使用目标标签和源标签) 或任何只接受来自应用引擎的请求的东西吗？？

我在防火墙部分阅读了有关使用标签的信息，我可以在其中将应用引擎实例定义为源标签，将计算引擎标签定义为目标标签，以便我的目标标签只能监听源标签。

请帮助我，我已经搜索了很长时间但没有找到任何有用的东西。

更新

我尝试设置我的 app_engine 实例标签，然后将该标签用于与所有服务(MongoDB、ES、Redis)关联的防火墙规则，这样只有应用引擎才能连接服务，但事实并非如此现在工作我无法连接到我的应用程序引擎以使用我的所有服务。

我只有一个网络，它是默认网络(由 google 自动创建)，以及我所有的实例，例如 MongoDB 以及我的 app engine 在同一个 默认网络 上。

我在 app.yaml 中添加了下面一行

network:
  instance_tag: app-tag

下面我在 firewall rule 中为我的 MongoDB 数据库设置源代码标签 app-tag。

Answer 1

您可以灵活地使用 App Engine。 https://cloud.google.com/appengine/docs/flexible/

然后将服务机器设置在与数据库相同的网络上。

在这样的配置中，您不需要为数据库设置公共(public) IP，因此不会从内部网络外部访问它们。