通过Google IAP使用嵌套身份验证

Question

我部署了一个第三方Web应用程序，该应用程序使用基本身份验证来访问Google Cloud Run。我还想通过仅允许经过Google认证的单位用户访问权限来保护端点。这两种方法都使用请求的Authorization标头，但我无法使其正常工作。

我尝试过this帖子，在一个字段中提供了两个凭据。我的理由是，GCP应该选择它支持的最强的凭据机制-承载-并保留webap的基本凭据。我不知道webapp是否可以处理它，因为Google的反向代理已经禁止了我的访问。

curl "-HAuthorization: bearer ${bearer_token}, basic ${base64_userpw}" https://my-google-endpoint.com

-> 401未经授权

我也尝试过Proxy-Authorization，结果没有不同。curl“ -HProxy-Authorization：承载$ {bearer_token}”“ --HAuthorization：基本$ {base64_userpw}” https://my-google-endpoint.com

是否有一种方法可以使嵌套身份验证与Google的反向代理一起使用？我仅通过提供承载就可以克服反向代理，但自然会在服务上遇到障碍。通过在代理端禁用身份验证，我可以使用基本凭据对服务进行身份验证。

P.S .：我不是使用浏览器来访问webapp，而是使用命令行工具。

Answer 1

您不能将授权机制与IAP混合使用。 bearer关键字之后的所有内容均视为令牌字符串。

一种解决方案是将您的基本授权HTTP标头从使用Authorization更改为自定义HTTP标头。类似于X-MyApp-Authorization。然后，您的应用将处理自定义标头以处理基本授权机制。