如何在GCP中搭建带内网IP访问限制的企业内部Web服务器

方案1：Cloud Run 无服务器内网部署（最推荐，运维成本最低） #

适合轻量Flask类Web应用部署，不需要管理服务器：

• 将Flask项目打包为标准Docker镜像，上传至GCP Artifact Registry私有镜像仓库
• 部署Cloud Run服务时，勾选仅允许内部和VPC访问选项，服务不会分配公网IP，仅生成VPC内网可解析的访问域名
• 企业内部用户只要接入企业内网（同VPC、VPN接入、专线接入均可），直接访问上述内网域名即可使用，无额外验证跳转，对非技术用户完全友好
• 搭配VPC防火墙规则，仅允许企业指定的内网IP段访问该Cloud Run服务，满足私有IP访问限制要求

方案2：GCE/GKE + 内网负载均衡部署 #

如果你团队已有成熟的虚拟机/容器集群使用习惯，可以采用该方案：

• 部署Flask应用的GCE实例、GKE工作负载均不分配公网IP，仅绑定私有内网IP
• 配置GCP内部负载均衡（ILB）承接访问流量，防火墙规则仅放开企业内网IP段的80/443端口访问权限
• 如需HTTPS访问，可通过Cloud CA Service签发企业内部信任的证书，避免浏览器弹出安全提示

现有IAP部署优化方案 #

如果暂时不打算调整现有基于IAP的部署架构，可通过以下配置降低非技术用户使用门槛：

• 给服务绑定企业内部自定义域名，避免用户记忆复杂的IAP默认域名
• 在企业内部IT门户添加统一访问入口，用户点击后自动完成IAP身份校验，无需手动操作验证步骤
• 提前给所有需要访问的非技术用户配置IAP访问权限，分配roles/iap.httpsResourceAccessor角色，避免用户访问时出现权限报错

内容的提问来源于stack exchange，提问作者Newbee