为GKE Web应用配置IAP遇错误码11，需进一步排查

• 确认OAuth客户端类型：必须创建「Web应用」类型的OAuth客户端ID，其他类型（如桌面、移动应用）无法适配IAP授权流程。
• 验证Client ID/Secret编码正确性：确保Base64编码无多余换行或空格，解码后与Cloud Console中原始值完全一致。可通过本地命令echo "BASE64值" | base64 --decode验证。
• 清理重复的BackendConfig配置：你提供的YAML里存在两个同名的stg-web-default BackendConfig，会导致配置冲突，删除重复项后重新应用配置，确保Service的beta.cloud.google.com/backend-config注解正确指向唯一的BackendConfig。
• 检查后端服务健康状态：IAP要求后端健康检查必须通过。确认目标端口（你的配置中为8000）的服务正常响应，无超时或错误，健康检查状态为健康。
• 添加正确的重定向URI：在OAuth客户端的「已授权的重定向URI」列表中，必须包含格式为https://iap.googleapis.com/v1/oauth/clientIds/[你的Client ID]:handleRedirect的URI，缺失会导致授权失败。
• 检查IAP访问权限：确保用于访问的账号被添加到IAP的访问权限列表，且拥有「IAP-secured Web App User」角色，无权限会触发错误码11。
• 确认节点网络访问权限：GKE节点需能访问IAP相关服务，检查VPC防火墙规则和节点网络配置，确保未阻断出站流量到Google API服务。

内容的提问来源于stack exchange，提问作者kyuden