Cloud Functions の保護

from Cloud Functions

開発者、関数、エンドユーザーの認証 | Google Cloud Functions に関するドキュメント

これ嫁

curl で実行するときは Authorization ヘッダを gcluod コマンドから作れる

-H "Authorization: Bearer $(gcloud auth print-identity-token)"

roles/cloudfunctions.invoker があるユーザ、サービスアカウントなら実行できる

サービス間をOIDC トークンで認証 Cloud Scheduler#5e6ba7283844610000bf7d24

--allow-unauhenticated

https://cloud.google.com/sdk/gcloud/reference/beta/functions/deploy#--allow-unauthenticated

Managing Access via IAM | Cloud Functions Documentation | Google Cloud

Note: The default behavior for HTTP functions will change after November 1, 2019. Currently, new HTTP functions allow unauthenticated invocation by default. New HTTP functions created after November 1, 2019 will require authentication by default. You can specify whether a function allows unauthenticated invocation at or after deployment.

公開エンドポイントにするなら --allow-unauthenticated が必要になる(2019/11/1 から)

今では beta でのみ使えるオプション

初回で指定すると実行 IAM Policy を付与してくれる

gcloud alpha functions add-iam-policy-binding ... --member=allUsers --role=roles/cloudfunctions.invoker"

allUsers は特別な member

CloudRun とかも同じ雰囲気のようだった

オフにするには --no-allow-unauthenticated で反映したらいける?

allUsers は外れていなさそう