google-cloud-platform - IAP：限制对管理员的访问，允许开放访问公共网站

Question

我有一个带有 www.domain.tld/admin 命名空间的 Web 应用程序，我希望使用 Google IAP 对其进行保护。

但是，我不想限制对我们面向公众的网站 www.domain.tld 的访问。

有什么策略可以让我们的网站完全开放访问，同时限制对“管理员”的访问？

Answer 1

如果您使用 GCLB 将流量发送到 GCE 或 GKE，这是可能的：

1. 在 GCLB 中创建两个不同的后端服务，称为“public_site”和“admin_site”。您甚至可以将它们指向相同的服务器，尽管让它们尽可能分开会更好的安全性。
2. 使用将 /admin 发送到 admin_site 并将其他所有内容发送到 public_site 的 URLMap 设置 GCLB。
3. 仅为 admin_site 启用 IAP。

这利用了基于每个后端启用/禁用 IAP 的事实。