如何限制公眾訪問谷歌應用程序引擎靈活的環境？

Question

我在app引擎中有許多微服務僅供內部使用。 但是，默認情況下，應用引擎service-project.appspot.com域打開為public，任何人都可以通過http或https訪問它們。 有沒有辦法限制只對某個IP地址的訪問？

我能想到的瑣碎方法是檢查應用程序代碼中的源IP地址。 或者，我可以使用nginx配置創建自定義docker鏡像，以檢查源IP地址。 但是，這些並不是很干凈的解決方案，因為訪問控制實際上獨立於應用程序，我不想在容器內硬編碼靜態IP地址。

我假設有一種方法可以為app引擎設置防火牆規則，但我找不到它。 Identity-Aware Proxy似乎是另一種選擇，但它不適用於app engine flex。

Answer 1

我知道這很冷，但我們正在努力為IAP重新啟用App Engine flex支持。 不過，這將不僅僅是幾天。

https://cloud.google.com/appengine/docs/flexible/java/migrating#users有一些選項可能比硬編碼IP更可口。 您將無法使用GCE防火牆規則，因為appspot.com流量來自雲HTTP負載均衡器，因此GCE實例防火牆只能看到負載均衡器的IP。 如果您確實要驗證應用中的IP，請按照https://cloud.google.com/compute/docs/load-balancing/http/#components中的說明使用X-Forwarded-For。

希望這可以幫助！ --Matthew，Cloud IAP工程師