google-app-engine - 是否可以为身份感知代理下的服务提供特定端点的公共(public)访问权限？

Question

我在 Google Cloud App 引擎中有一项服务，位于 IAP 后面.

它仅供我组织内的用户访问。
我需要让所有用户都可以访问该服务的一些端点。
有没有可能实现？

我找到了 instruction ，它说这是可能的，但它也说:The allUsers and allAuthenticatedUsers values are unsupported member types in a conditional role binding. If you specify one of these member types, the setIamPolicy operation will fail.
这对我来说并不清楚，而且有点困惑。

一个小例子:
我的服务有一个网址 https://google-cloud-app-engine-service.com
而且我只想让每个人都可以使用此服务的一个端点:
https://google-cloud-app-engine-service.com/public_endpoint .

谢谢!

Answer 1

您不能使用 IAP 将 URL 路径列入白名单。最好的粮食是服务。我的意思是，您可以在 AppEngine 上激活 IAP。然后，对于您想要的服务，您可以选择它，转到信息面板并添加 allUsers或 allAuthenticatedUsers与角色 IAP-secured web app user


你有几种选择

自己管理安全，不要使用IAP(这不是一个好主意)

在 AppEngine 前面使用 Cloud Endpoint。我 wrote an article on this用于使用 APIKey 进行保护，但您可以根据需要更改安全定义。问题是您必须在 Cloud Endpoint 中定义所有 API，并且您的堆栈中有一个额外的组件

使用 2 项服务(如果可能)。设置一个公开，另一个受 IAP 保护。