Как аутентифицировать запросы во внутренних модулях App Engine?

Question

У меня есть приложение в Google App Engine, которое состоит из 2 модулей (A и B). A обрабатывает запросы пользователей и доступен без аутентификации. B - это микросервис, выполняющий определенные задачи, когда это требует A. Таким образом, мы имеем A делает запросы B использованием urlfetch:

from google.appengine.api import urlfetch 
from google.appengine.api import app_identity 
rpc = urlfetch.create_rpc() 
urlfetch.make_fetch_call(
    rpc, 
    "https://b-dot-my-project.appspot.com/some/url", 
    method='GET', 
    follow_redirects=False, 
    headers = { 
     'X-Appengine-Inbound-Appid': 'my-project', 
    }, 
) 
response = rpc.get_result() 

B «s app.yaml выглядит примерно так:

runtime: python27 
api_version: 1 
threadsafe: yes 
service: b 

handlers: 
- url: /.* 
    script: my_module.app 
    login: admin 
    auth_fail_action: unauthorized 

В docs, они предлагают:

При выдаче запроса к другому приложению App Engine приложение App Engine должно подтвердить свой идентификатор y, добавив заголовок X-Appengine-Inbound-Appid к запросу. Если вы укажете URL-адрес Службы Fetch, чтобы не следовать перенаправлениям, App Engine добавит этот заголовок к запросам автоматически.

Независимо от того, что я делаю, при оформлении этого запроса я получаю 401. Оба A и B развернуты в том же проекте. Пробовал настройку follow_redirects=False и добавил заголовки X-Appengine-Inbound-Appid вручную (хотя я не ожидал, что он поработает по причинам, описанным here), все еще не уверен, установлен ли заголовок, поскольку журналы для B не включают заголовки запросов и отказ условие происходит до того, как будет выполнен мой модуль обработчика.

я предпочел бы, если это возможно, чтобы полагаться на A аутентификации в B, а не просто сбросив вариант login: admin и полагаться только на заголовок, как это лучше, чтобы быть в состоянии назвать B с учетной записью проекта администратора (для целей отладки для пример).

Answer 1

Вместо login:admin вы можете проверить заголовок в запросе модуля B на 'HTTP_USER_AGENT': 'AppEngine-Google; (+http://code.google.com/appengine; appid: s~my-project)'. Это говорит вам, что оно исходило из задания urlfetch, taskqueue или cron.

Answer 2

Вместо того, чтобы указывать login: admin в вашей конфигурации, используйте вместо этого библиотеку python: https://cloud.google.com/appengine/docs/standard/python/refdocs/google.appengine.api.users Таким образом, вы можете сначала проверить заголовок ядра приложения и отказать администратору Google.