express - 使用 Google Cloud Run 进行 SSL 客户端身份验证

Question

我正在尝试将现有后端转移到 Google Cloud Run。某些端点(在特定子域下)需要 SSL 客户端身份验证。目前的处理方式是在 Nginx 配置级别:

server {
    listen 443 ssl http2;
    server_name secure.subdomain.example.com;
    [...]

    # SSL Client Certificate:
    ssl_client_certificate xxx.pem;
    ssl_verify_client on;

    [...]

    location / {
        if ($ssl_client_verify != "SUCCESS") { return 403 $ssl_client_verify; }
        [...]
    }
}

使用 Google Cloud Run 处理 SSL 客户端证书身份验证的最佳方法是什么？我假设这需要在正确的网络层上使用某种负载均衡器并支持云运行？

当然，在 ExpressJS 应用程序中始终可以选择进行身份验证，但如果可能的话，我更希望它发生在到达 Cloud Run 之前。

Answer 1

What would be the best approach to handle SSL client certificateauthentication with Google Cloud Run?

Cloud Run 不支持 SSL 客户端证书身份验证。 GFE (Google Front End) 代理对 Cloud Run 应用程序的请求，但不传递请求。唯一支持 SSL 客户端证书的 Google Cloud 负载平衡器基于 Google Maglev。

Google Cloud 管理的计算服务均不支持 SSL 客户端证书身份验证(双向 TLS 身份验证)。

考虑使用 Compute Engine 而不是 Cloud Run。然后配置 Nginx 来处理客户端身份验证。对于负载平衡，请使用直通负载平衡器，例如 External TCP/UDP Network Load Balancer