google-app-engine - 如何限制公众访问谷歌应用引擎灵活的环境？

Question

我在 App Engine 中有许多微服务仅供内部使用。但是，默认情况下，应用引擎向公众开放 service-project.appspot.com 域，任何人都可以通过 http 或 https 访问它们。有没有办法只限制某些 IP 地址的访问？

我能想到的简单方法是在应用程序代码中检查源 IP 地址。或者，我可以使用检查源 IP 地址的 nginx 配置创建自定义 docker 镜像。但是，这些都不是很干净的解决方案，因为访问控制实际上独立于应用程序，而且我不想在容器内硬编码静态 IP 地址。

我假设有一种方法可以为 App Engine 设置防火墙规则，但我找不到它。 Identity-Aware Proxy 似乎是另一种选择，但它不适用于 App Engine Flex。

Answer 1

我知道这是冷酷的安慰，但我们正在努力为 IAP 重新启用 App Engine 弹性支持。不过，这不仅仅是几天。

https://cloud.google.com/appengine/docs/flexible/java/migrating#users有一些选项可能比硬编码 IP 更可口。您将无法使用 GCE 防火墙规则，因为 appspot.com 流量来自云 HTTP 负载均衡器，因此 GCE 实例防火墙只能看到负载均衡器的 IP。如果您确实想在您的应用中验证 IP，请按照 https://cloud.google.com/compute/docs/load-balancing/http/#components 中所述使用 X-Forwarded-For。 .

希望对您有所帮助! --Matthew，Cloud IAP 工程师