GKE中能否将编程式IAP身份验证与Kubernetes Gateway API结合使用？

以下三种方案均可同时满足基于请求头路由、IAP集成、服务账号机器身份校验的需求：

方案1：保留现有IAP集成，新增内部路由层（改造成本最低） #

• 无需改动已完成IAP集成的GKE Ingress配置，所有入站请求优先经过该Ingress完成IAP身份校验
• 将Ingress的默认后端指向内部部署的Nginx/Envoy反向代理集群，由该代理层实现基于请求头的路由规则，匹配请求头后转发到对应业务后端
• 服务账号认证逻辑沿用现有IAP配置，无需额外调整

方案2：使用GKE Gateway API + 独立IAP代理层 #

• 部署GKE Gateway API资源，配置对应的HTTPRoute规则实现基于请求头的路由能力
• 在Gateway入口与业务后端之间部署独立IAP代理容器，统一处理所有请求的IAP校验逻辑：
  • 代理层会自动校验请求头Authorization字段中携带的OAuth2令牌有效性
  • 校验通过后再将请求转发到Gateway匹配到的对应后端服务
• 该方案可完全使用Gateway API的路由能力，同时兼容IAP安全策略

方案3：使用Anthos Service Mesh(ASM)统一管理流量与安全 #

• ASM原生支持基于请求头的路由规则，同时内置IAP集成能力
• 配置ASM的RequestAuthentication规则绑定IAP公钥，即可自动完成所有入站请求的IAP令牌校验
• 该方案无需额外部署代理组件，路由规则与安全策略均可通过Kubernetes原生API配置，可扩展性最强

服务账号机器客户端通用配置 #

• 为调用端创建专用服务账号，授予roles/iap.httpsResourceAccessor权限
• 客户端调用时通过Google Cloud官方SDK或客户端库生成IAP专用OAuth2访问令牌，将令牌放入Authorization: Bearer <令牌>请求头中发起请求，即可通过IAP身份校验

内容的提问来源于stack exchange，提问作者Ted