使用服务账号凭证请求Google Cloud Compute Engine实例超时问题

核心误解：GCE防火墙的服务账号规则不验证请求凭证 #

你配置的防火墙规则中「要求携带服务账号凭证」，不是指请求里要携带IDToken等凭证，而是指发起请求的源必须是带有指定服务账号的GCP资源（比如GCE VM、Cloud Run）。如果你的请求来自本地、非GCP服务器，这个规则会直接拒绝请求，导致超时；去掉该规则后0.0.0.0/0允许所有IP访问，所以能正常连通。

具体解决方案 #

1. 调整防火墙规则 #

• 如果需要允许外部（非GCP）请求访问：删除防火墙规则中的「服务账号」条件，仅保留「允许0.0.0.0/0通过8000端口访问」，然后在容器应用层实现身份验证（验证IDToken）。
• 如果仅允许GCP内部资源访问：保留防火墙的服务账号条件，但此时请求来源必须是带有指定服务账号的GCP资源（比如另一台GCE VM），这类资源会自动用自身服务账号身份发起请求，不需要你手动生成IDToken。

2. 在容器应用层实现IDToken验证 #

GCE防火墙不会处理HTTP请求的凭证验证，你需要在Redis的HTTP接口层（你部署的内存数据库容器）中添加验证逻辑：

• 从请求的Authorization头中提取Bearer <token>格式的IDToken
• 使用Google公开的公钥验证Token的签名、有效期、aud（受众）字段是否匹配你的服务地址（比如http://{ip}:8000）
• 验证通过后再处理Redis请求

3. 代码与配置调整 #

• 协议匹配：确认容器应用监听的是HTTP还是HTTPS，如果是HTTP，将代码中的target_audience和url改为http://{ip}:{port}，避免HTTPS连接失败导致超时。
• 延长超时测试：暂时把timeout=2改为timeout=10，排除网络延迟导致的超时问题。
• 检查请求头：AuthorizedSession会自动将IDToken放入Authorization: Bearer <token>头，确认容器应用是否正确读取该头信息。

4. 手动测试验证 #

用curl模拟带凭证的请求，排查是否是代码或应用的问题：

# 生成符合受众要求的IDToken
TOKEN=$(gcloud auth print-identity-token --audiences http://{你的VM公网IP}:8000)
# 发送请求
curl -H "Authorization: Bearer $TOKEN" http://{你的VM公网IP}:8000/get_attributes -d '["test-uuid"]' -H "Content-Type: application/json"

如果这个请求能得到响应，说明代码层面的问题；如果仍然超时，检查容器应用是否正确监听端口、是否有其他网络拦截（比如VM内部的iptables规则）。

内容的提问来源于stack exchange，提问作者Soogey