google-app-engine - Google App Engine 防火墙仅允许来自另一个 Google App Engine 应用程序的请求

Question

我已经在 SO 和Google 的文档上关注了其他一些已解决的问题，但没有一个有效。

我的场景：我有 2 个 Google Cloud 项目。一个用于我的前端，另一个用于后端。我只想允许我的前端项目对我的后端项目的请求。因此，在后端项目的 App Engine 中，我设置了以下规则：

Priority    Action     IPs  
1           Allow      0.1.0.40     
2           Allow      10.1.0.41        
default     Deny        *       

这两个项目都使用标准环境。

这些设置有什么问题？

谢谢！

编辑 1

我发现如果我在后端项目中允许我的 IP，它就可以工作。为什么是这样？它不应该从 Google Cloud IP 或类似的东西发送请求吗？

标签： google-app-enginegoogle-cloud-platform

Answer 1

您应该考虑使用Identity-Aware Proxy (IAP)保护您的后端。

IAP 允许您为通过 HTTPS 访问的应用程序建立中央授权层，因此您可以使用应用程序级访问控制模型，而不是依赖网络级防火墙

在这里你可以找到官方文档：

身份感知代理文档。