cookies - 发送自己的 API 的 Cookie 或 header 以防止 Google Cloud Identity Aware Proxy (IAP) 302？

Question

我已在开发环境中设置了 Cloud IAP(与 Kubernetes 一起启动并使用 Let's Encrypt)，并且一切正常。

此应用程序的设置非常基本:

1) 一个 API，具有多个 REST 端点和持久数据存储，位于项目 A

中

2) 在不同的项目 B

中使用上述 API 的 SPA 前端应用程序

在我的浏览器(尝试过 Chrome 和 Firefox)中，我可以通过 IAP 屏幕在这两个应用程序中验证我的 Google 用户身份(通过转到浏览器选项卡中的每个域)，但是一旦我尝试使用 SPA 和 it 尝试向 API 发出请求，我看到网络请求 302 重定向到 Google IAP 登录页面。

问题:是否需要代表用户通过 API 请求发送 header 或 cookie，以便 IAP 允许传递？

注意我看到这两个 cookie GCP_IAAP_AUTH_TOKEN 和 GCP_IAAP_XSRF_NONCE。

Answer 1

IAP、“API”或“SPA”保护哪些内容？如果是 SPA，IAP 应该可以正常工作。如果是 API，那么今天最好的选择是使用 https://cloud.google.com/iap/docs/authentication-howto让 SPA 对 API 进行身份验证，也许还可以将其传递下来 https://cloud.google.com/iap/docs/signed-headers-howto以便 API 可以单独验证最终用户的凭据。

将 GCP_IAAP_AUTH_TOKEN 从 SPA 传递到 API 是行不通的，出于安全原因，我们在将请求传递给最终用户应用程序之前将其删除(如果负载均衡器和应用程序之间的传输是 HTTP，只是为了让生活更美好)对于攻击者来说有点困难。)