google-app-engine - 如何在受 IAP 保护时使用 App Engine HTTP 运行 Cloud Scheduler 作业

Question

我在 Google App Engine Standard 上有一个 Python 应用程序，它使用 Google Cloud Identity Aware Proxy (IAP) 进行保护。

我想通过使用 Cloud Scheduler 每天触发我的应用程序的一部分。 (它调用 API、进行计算并将结果存储在 Google Cloud Storage 中。)

为此，我尝试在“App Engine HTTP”上触发 POST 请求。示例 URL:“/refresh_data”

运行作业时，出现以下错误:

jsonPayload: {
status: "FAILED_PRECONDITION"
relativeUrl: "/refresh_data"
jobName: "..."
@type: "type.googleapis.com/google.cloud.scheduler.logging.AttemptFinished"
targetType: "APP_ENGINE_HTTP"
}

我找不到与“FAILED_PRECONDITION”错误相关的任何文档，所以我感觉有点卡在这里。

作为替代方案，我尝试触发对简单“HTTP”的 POST 请求，并通过将 IAP 中的所有者访问级别授予我用于 Cloud Scheduler 的服务帐户。这次，我收到的错误消息如下:

 jsonPayload: {
 status: "UNAUTHENTICATED"
 @type: "type.googleapis.com/google.cloud.scheduler.logging.AttemptFinished"
 jobName: "..."
 targetType: "HTTP"
 url: "https:.../refresh_data"
 }

我真的不明白如何让它工作...Cloud Scheduler documentation几乎没有记录“App Engine HTTP”选项，也没有任何关于 IAP 使用的记录...

任何帮助将不胜感激:)

Answer 1

这是 IAP 的阴暗面。我几个月前将此反馈发送给了谷歌。与 Pubsub 相同，即使您使用具有正确授权的服务帐户，您也无法触发这些无服务器产品并保护 App Engine IAP。