内部连接云功能和App Engine

Question

我想把这个过程内部化，这样只有云功能可以访问App Engineendpoint，但我正在与这个过程作斗争。

由于这两个服务都是无服务器的，所以我不能只过滤App Engine防火墙中的通信量，因为每次创建新实例时云功能都有不同的IP。

我曾尝试遵循本指南，其中建议将所有功能出口通信量与子网的无服务器VPC连接器相关联，然后用NAT控制该子网的所有通信量，并为其分配静态IP地址。这样，我可以通过NAT IP在我的App Engine防火墙上进行过滤，它将永远是相同的。

知道我做错了什么吗？或者是否有任何替代方案可以使该过程私密化？

Answer 1

有两种解决方案来解决这个问题。而选择取决于你相信什么！

基于网络的解决方案

如果您希望保持App Engine只在内部，我的意思是从网络的角度来看，您可以将入口控件设置为internal-only，以只接受来自项目VPC的流量

因此，基于这一点，谷歌信任流量和请求的身份。您只能通过控制连接的身份验证来保持服务的私有性（除了授权访问之外，任何人都不能访问）。

为此，您需要在App Engine服务上激活IAP，并只授权云功能的服务帐户。

然后，在您的云函数中，您需要手动生成一个身份令牌，并将其添加到请求的头中。