如果我有一个 GAE Flex 应用程序，它仅供内部使用而不打算用于任何面向公众的用途，那么保护它的最佳方法是什么？默认情况下，*.appspot.com 域公开一个公共 HTTP/S 端点。
如果我将默认 App Engine 防火墙规则设置为明确拒绝所有 HTTP 流量，那么我如何从其他 GCE 实例或其他项目中的其他 GAE Flex 应用程序访问应用程序？
我最初认为编辑app.yaml文件以将实例启动到具有自己的 GCE 防火墙规则（使用默认入口拒绝）的私有 VPC 就足够了，但由于请求通过云负载均衡器 IP 的事实，它仍然允许外部流量.
我查看的下一个选项是 Cloud IAP，它只允许经过身份验证的用户和服务帐户访问我的应用程序。这可能会起作用，但是，如果我需要从没有互联网访问权限的私有 VPC 访问我的应用程序，如果我正确理解该服务将无法工作，因为请求仍然必须通过 HTTP 来。
那么我能做些什么来确保绝对没有对应用引擎的公开访问，同时仍然允许内部资源访问它？