Google Cloud Run - 了解最终用户身份验证

Question

我有一个网络应用程序，到目前为止一直通过云运行运行，但没有访问限制。现在它应该只对某些用户可用。我阅读了https://cloud.google.com/run/docs/authentication/end-users并尝试了两种提到的方法：Google-Sign-In 和“Identity Platform”教程。

如果我理解正确的话，您必须在这两种变体中对实际用户进行编程。例如，确定哪些电子邮件地址可以访问应用程序等。我一直在寻找一种声明性方式，理想情况下，我只维护允许的电子邮件地址列表，并且“云运行应用程序”仅“神奇地”链接到此。结果，只有这些用户才能访问 Web 应用程序。这似乎不可能？

理想情况下，实际应用程序根本不应该改变，上游层将负责身份验证和授权，可能与“身份平台”结合使用。

诚挚的问候，欢迎任何提示托马斯

Answer 1

让我添加一些糖来更好地理解所有这些。

Cloud Run 应用程序由您打包，您维护源代码，如果这是一个网站，则放置登录按钮并处理身份验证是您需要完成的工作。

Cloud Run 系统在硬件上运行所有这些，它不会“查看”或处理“代码”之外的应用程序代码。简而言之，它不知道它是 Java 还是 Python 代码，也不知道如何为您处理开箱即用的身份验证 - 但请进一步阅读。

如果您需要一种简单的方法来授权查看API Gateway，则可以将其放置在 Cloud Run“之前”。这可能不完全是您的用例。这些仅适用于“API”设计的服务。

您需要的上游层是托管身份平台，但代码应由您组装并部署在 Cloud Run 服务内。代码将是 UI 驱动部分，授权逻辑由 Identity Platform 处理，因此减少了开发时间。

您的用户将使用专用注册页面进行注册，并通过输入电子邮件和密码进行登录。Identity Platform 提供了一个预构建的身份验证 UI，您可以将其用于这些页面，也可以构建自己的身份验证 UI。您可能还希望支持其他登录方法，例如社交提供商（例如 Facebook 或 Google）、电话号码、OIDC 或 SAML。

查看一些高级示例，了解如何进一步自定义授权：仅允许从特定域注册，您可以重复使用其中一个示例来维护您提到的用户候选列表。