限制对Google Cloud功能的访问

Question

我已经成功地部署了一个云函数，它对一些数据进行一些基本的预处理，并将其上传到gSheet
现在，触发器url接受未经验证的外部调用，如果url最终落入坏人之手，则会导致账单过多的风险。

我想知道是否有任何方法可以限制对IAM中的云调度器的调用，从而防止外部调用服务。
阅读周围的内容似乎在请求中包含一些标头并在函数中检查它可能是一种基本的强制执行方法基本的真实性。

Answer 1

如果您想限制最终用户请求对Google云功能的访问，您可以将Google登录与Cloud IAM集成，或实施Firebase身份验证

云功能：验证开发人员、功能和最终用户：

大多数应用程序处理来自最终用户的请求，最好将访问限制为仅允许的最终用户。为此，您可以集成Google登录并授予用户角色/cloudfunctions.invokerIAM角色，或者实施Firebase身份验证并手动验证其凭据。

Answer 2

为了防止外部非真实诱导性呼叫，您可以设置您的功能私有。很容易做到，用--no-forle-un验证的参数部署它

gcloud functions deploy my-function --no-allow-unauthenticated --trigger... -- region... --runtime...

但是现在，调度程序无法调用它。现在你必须做两件事

• 创建具有正确角色的服务号。您可以通过GUI或命令行

# Create the service account
gcloud iam service-accounts create your-service-account-name

# Grant the role for calling the function
gcloud functions add-iam-policy-binding \
  --member=serviceAccount:your-service-account-name@YOUR_PROJECT_ID.iam.gserviceaccount.com \
  --role=roles/cloudfunctions.invoker your-function-name

使用GUI，如果您在项目级别授予角色cloudfunctions.invoker，您的服务号将能够访问项目中的所有功能。使用我的命令行，我只授予特定函数上的角色。您可以通过控制台执行此操作，进入函数列表，选择一个函数（复选框），然后单击show info面板。这里有一个权限标签

• 然后用服务号创建调度器

gcloud scheduler jobs create http your-job name --schedule="0 0 * * *" \
  --uri=your-function-URI \
  --oidc-service-account-email=your-service-account-name@YOUR_PROJECT_ID.iam.gserviceaccount.com

如果它不起作用，那是因为您的云调度器服务代理没有授权生成带有服务号的令牌。

gcloud projects add-iam-policy-binding YOUR_PROJECT_ID \
  --member=serviceAccount:service-[project-number]@gcp-sa-cloudscheduler.iam.gserviceaccount.com \
  --role roles/cloudscheduler.serviceAgent