如何限制对我的云功能的访问？

Question

我有一些云功能。 我还有一个在 AppEngine 中运行的 nodejs 服务器。 我从那里调用我的云功能。 目前我可以从任何地方调用我的云 function！

有什么方法可以限制对我的云功能的访问，使其仅在从运行在 Google App Engine 上的服务器调用时可用？

Answer 1

您有 2 个解决方案

1. 第一个是使用 AndresMijares 描述的服务帐户。 但是，不是要创建一个新的。 事实上，如果您创建了一个新的服务帐户并希望将其与应用引擎一起使用，您需要生成一个服务帐户密钥文件并将此密钥与您的代码一起部署。 它不是很安全，因为您还需要安全地存储这个秘密等等。

因此，解决方案是使用 App Engine 默认服务帐户，即 email 模式

<project_ID>@appspot.gserviceaccount.com

将此服务帐户作为role/cloudfunctions.invoker所有要在项目级别调用的功能。

---

2. 第二个解决方案不如第一个解决方案那么好，但它也是可能的。 您可以更新 Cloud Functions 并将ingress 参数设置为 internal 。 这意味着只有来自项目中 VPC 的流量才能到达 Cloud Functions，包括项目的其他资源（如 Compute Engine）。 -> 这就是为什么它不是一个很好的解决方案，但最后，无法从任何地方调用 Cloud Functions。

因此，要允许 App Engin 使用您的 VPC 调用 Cloud Function，您需要使用无服务器 VPC 连接器将无服务器世界与您的 VPC 连接起来。 除了不太安全之外，此解决方案还涉及无服务器 VPC 连接器的额外成本。

---

第二种解决方案的优点是您无需更新应用程序代码即可对云 function 执行安全调用。 您只需更新部署配置，并且 function 只能在内部调用。

对于第一个解决方案，您需要更新代码以将安全令牌添加到请求的 header。 它类似于function 到 function 身份验证。 我个人不喜欢这种实现方式，因为您无法在本地进行测试：在本地您没有元数据服务器！

我写了一篇文章，您可以从中获得“避免元数据服务器”部分的灵感。

---

编辑 1

在深入了解 App Engine 无服务器 VPC 连接器和此答案后，只能通过 Cloud Functions 或 Cloud run 到达入口“仅限内部”Cloud Function（或 Cloud Run）。 App Engine 不会在无服务器 VPC 连接器内路由公共流量，因此第二个解决方案在 App Engine 案例中是不可能的。

Answer 2

有几种方法可以做到这一点。 您可以创建服务帐户IAM & Admin -> Services accounts

您需要将Cloud Functions Invoker角色应用到此服务帐户，您可以为此使用 gcloud cli。

gcloud beta functions add-iam-policy-binding YOUCLOUDFUNCTIONAME --member serviceAccount:NAME-OF-YOUR-SERVICE-ACCOUNT@project-name.iam.gserviceaccount.com --role roles/cloudfunctions.invoker --region YOUR-REGION

您将收到如下消息提示：

bindings:
- members:
  - allUsers
  - YOUR SERVICE ACCOUNT

理想情况下，您需要删除allUsers角色。

gcloud beta functions remove-iam-policy-binding YOUFUNCTIONNAME --member allUsers --role roles/cloudfunctions.invoker --region us-central1

然后，您需要确保您的AppEngine实例可以访问您刚刚创建的服务帐户，这应该可以解决问题。 请注意，您可能需要根据您的情况进行更多配置，但这可以为您提供一个很好的起点。