Cloud Scheduler から IAP 越しのアプリケーションを叩く

ゴール: AppEngine デフォルトサービスアカウントで Scheduler から IAP 超えする

https://gyazo.com/e6dbec9fb2b1fc6a066cea2009e7ad63

Editor にあるのでいらないかと思ったけど必要

Cloud Scheduler の OIDC トークン

サービスアカウントはデフォルトサービスアカウントを指定する

IAP の ClientID を指定する必要がある

terraform なら

code:scheduler_iap.tf

resource "google_cloud_scheduler_job" "kick_iap" {

name = "kick-iap"

schedule = "7 11 * * *"

time_zone = var.timezone

http_target {

http_method = "POST"

oidc_token {

service_account_email = data.google_app_engine_default_service_account.default.email

audience = google_iap_client.gae_client.client_id

}

}

悲しいお知らせ

この方法で IAP を通ってくると Cloud Scheduler の OIDC Token が Auhotirzation Header から消える

IAP を通ってこれてるので既に信頼できるリクエストではあるのだが

当面社内向けに IAP かけておいて、リリース時に IAP 外す、一部のエンドポイントはリクエスト元を検証したい、というときに困る

IAP に Authorization を渡すなら Proxy-Authorization として渡すのか

---.icon