如何通过Google Cloud Armor为Firebase Function配置速率限制

前置说明 #

• 标准层Cloud Armor确实支持基础速率限制功能，无需升级到Managed Protection Plus套餐
• Cloud Armor无法直接绑定独立的Cloud Function实例，必须先将Cloud Function接入全球外部HTTP(S)负载均衡作为后端服务，才能关联Cloud Armor策略

具体配置步骤 #

步骤1：将Cloud Function配置为负载均衡后端 #

1. 进入GCP控制台的「负载均衡」页面，创建新的全球外部HTTP(S)负载均衡
2. 后端配置阶段，选择「后端服务」→「创建后端服务」，后端类型选择Cloud Function，选中你要保护的Firebase Function实例，配置好超时、健康检查等参数
3. 配置主机和路径匹配规则、前端IP和端口（建议配置HTTPS证书，绑定自定义域名），完成负载均衡创建

步骤2：创建并关联Cloud Armor速率限制策略 #

1. 进入Cloud Armor页面，创建新的安全策略
2. 策略类型选择「基于速率的规则」，配置你需要的限流阈值、封禁时长、匹配条件等参数
3. 策略创建完成后，在「目标」标签页下选择你刚刚创建的全球外部HTTP(S)负载均衡的后端服务作为关联目标
4. 等待配置生效后，所有指向负载均衡的流量都会先经过Cloud Armor的限流检测，再转发到对应的Cloud Function

步骤3：验证配置生效 #

你可以通过批量发送请求的方式测试限流规则是否生效，符合触发条件的请求会返回429 Too Many Requests状态码

注意：配置完成后你需要将原有Cloud Function的调用地址替换为负载均衡对应的访问地址，原有直接调用cloudfunctions.net域名的流量不会经过Cloud Armor保护。

内容的提问来源于stack exchange，提问作者zlZimon