如何通过GCP IAP在GKE服务间传递用户认证信息？

核心问题说明 #

Service A收到的X-Goog-Iap-Jwt-Assertion头是IAP为Service A生成的专属JWT，受众（aud）绑定Service A的IAP客户端ID，无法直接传递给Service B做认证——哪怕手动传递，Service B的验证逻辑（或IAP）也会因受众不匹配拒绝。此外，内部服务间调用默认不会自动携带IAP相关头，导致用户上下文丢失。

方案1：基于用户身份生成目标服务专属ID Token（推荐） #

• Service A先解析X-Goog-Iap-Jwt-Assertion头，提取用户身份信息（如邮箱、用户ID）。
• 使用GCP官方Auth库（如Go的google.golang.org/api/idtoken、Python的google-auth），以当前用户身份生成针对Service B的ID Token，生成时指定Service B的受众（可为Service B的IAP客户端ID，或内部服务自定义的受众标识）。
• Service A调用Service B时，在请求头中携带Authorization: Bearer <生成的ID Token>。
• Service B侧验证Token：若Service B配置了IAP，IAP会自动完成验证；若为纯内部服务，用官方库手动验证Token的签名、受众、过期时间，提取用户身份后再调用Firestore。

方案2：给Service B配置内部IAP并传递模拟身份 #

• 为Service B配置内部IAP（通过GKE Gateway API或Ingress，限制仅内部IP访问），获取其IAP客户端ID。
• Service A调用Service B前，用自身服务账号（需配置用户身份模拟权限），基于原用户身份生成针对Service B IAP的访问Token，而非直接传递原始X-Goog-Iap-Jwt-Assertion头。
• 调用Service B时携带生成的Token，IAP验证通过后，Service B即可获取用户上下文，调用Firestore时自动携带身份信息。

方案3：通过Workload Identity传递用户邮箱模拟身份 #

• 确保Service A、Service B均配置Workload Identity，绑定对应的GCP服务账号。
• Service A解析IAP JWT得到用户邮箱后，调用Service B时传递该邮箱（如通过自定义请求头X-User-Email）。
• Service B收到邮箱后，调用Firestore时添加请求头X-Goog-Authenticated-User-Email: accounts.google.com:<用户邮箱>，同时用自身Workload Identity服务账号发起请求——Firestore会识别该头对应的用户上下文，完成权限校验。

关键禁忌 #

• 禁止直接传递X-Goog-Iap-Jwt-Assertion到其他服务，受众不匹配必然导致认证失败。
• 避免手动解析、生成JWT签名，务必依赖GCP官方Auth库，降低安全风险。

内容的提问来源于stack exchange，提问作者christian