GCP API 网关通过在前面添加外部负载均衡器对 JWT 感到困惑

Question

我有一个运行设置，其中后端 Cloud Run 服务以 API 网关为前端。 安全定义很简单：

 flow: "implicit"
 type: "oauth2"
 x-google-jwks_uri: "https://www.googleapis.com/oauth2/v3/certs"
 x-google-issuer: "https://accounts.google.com"
 x-google-audiences: "my-audience"

现在我已按照 Google 文档（ 此处）添加了外部负载均衡器（带有自定义域），我从 API 网关收到以下错误日志：

response_code_detail: "jwt_authn_access_denied{Audiences_in_Jwt_are_not_allowed}"
service_agent: "ESPv2/2.35.0"

任何帮助将不胜感激。

Answer 1

事实证明，不能将x-google-backend.address属性更改为基于自定义域的地址。 需要与 Cloud Run 后端的实际服务 URL 保持一致。