從經過 iap 身份驗證的前端向 iap walled 后端發出請求

Question

我正在使用經過 IAP 身份驗證的前端（在 React 上運行），我想使用谷歌雲 IAP 身份驗證向后端服務器發出請求，但我無法通過該服務進行身份驗證。

據我觀察，當我向前端發出任何請求時，請求會附加存儲的 cookie，這些 cookie 看起來像“GCP-IAP_AUTH_TOKEN”等。 我如何使用這些 cookie 向后端進行身份驗證？

我希望該解決方案盡可能對用戶友好，因此理想情況下我希望提取這些 cookie 或身份驗證標頭並將它們附加到我對后端服務的請求中，這樣該解決方案就不需要用戶使用服務帳戶等等

有人遇到過這個問題嗎？ 有確定的解決辦法嗎？

Answer 1

正如@guillaume blaquiere 提到的，您不能重復使用用戶 IAP 令牌來執行對 Google Cloud 服務的后續調用您不能代表用戶執行操作。這就是為什么 Google Cloud 向您傳輸用戶令牌，但沒有簽名防止任何重復使用。

從用戶帳戶或服務帳戶向受身份識別代理 (IAP) 保護的資源進行身份驗證。

1. 用戶帳戶屬於個人用戶。 當您的應用程序需要代表用戶訪問受 IAP 保護的資源時，您需要對用戶帳戶進行身份驗證。 閱讀有關用戶帳戶憑據的信息。

2. 服務帳戶屬於應用程序而不是個人用戶。 當您希望允許應用程序訪問受 IAP 保護的資源時，您可以對服務帳戶進行身份驗證。 了解如何理解服務帳戶。