Google App Engine可用角色名及管理员页面Google账户权限配置咨询

刚好之前在GAE上搭建管理员后台的时候研究过这个配置，我来给你详细说清楚：

GAE 基于 Google Cloud IAM 提供了几个内置的角色，你可以直接在 security-constraints 中使用：

• admin：拥有应用的完全管理权限，包括部署应用、修改配置、访问所有管理页面等，对应 Google Cloud 项目中的「App Engine Admin」IAM 角色
• developer：具备应用的开发权限，可以查看应用状态、部署新版本，但无法修改应用核心配置（比如服务层级设置）
• viewer：仅拥有只读权限，能查看应用的监控数据、日志等内容，无法执行任何修改操作

这些内置角色不需要额外映射，GAE 会自动关联到对应 IAM 权限的账户。

如果你想指定特定的 Google 邮箱账户访问管理员页面，需要结合 web.xml（Java 标准环境）和 appengine-web.xml 来配置，步骤如下：

1. 在 web.xml 中定义受保护的资源和安全角色 #

首先配置要保护的管理员页面路径，并指定自定义角色名：

<!-- 定义受保护的管理员页面 -->
<security-constraint>
  <web-resource-collection>
    <web-resource-name>Admin Section</web-resource-name>
    <url-pattern>/admin/*</url-pattern> <!-- 替换成你的管理员页面路径 -->
    <http-method>GET</http-method>
    <http-method>POST</http-method>
  </web-resource-collection>
  <auth-constraint>
    <role-name>custom-admin-role</role-name> <!-- 自定义的角色标识 -->
  </auth-constraint>
</security-constraint>

<!-- 声明安全角色 -->
<security-role>
  <role-name>custom-admin-role</role-name>
</security-role>

2. 在 appengine-web.xml 中映射角色到具体 Google 账户 #

把自定义角色和指定的 Google 邮箱绑定：

<security-role>
  <role-name>custom-admin-role</role-name>
  <principals>
    <principal>user:admin1@yourdomain.com</principal> <!-- 允许访问的账户 -->
    <principal>user:admin2@yourdomain.com</principal> <!-- 可添加多个账户 -->
  </principals>
</security-role>

3. Python 标准环境的配置方式 #

如果是用 Python 开发，不需要 XML 配置，直接在 app.yaml 中设置：

handlers:
- url: /admin/.*
  script: auto
  login: required
  secure: always
  auth_fail_action: unauthorized
  users:
    - admin1@yourdomain.com
    - admin2@yourdomain.com

• 确保受保护的页面强制使用 HTTPS，GAE 的身份验证需要安全连接，在配置中可以通过 <user-data-constraint>（Java）或 secure: always（Python）来设置
• 本地测试时，dev_appserver.py 会提供模拟登录界面，你可以输入任意邮箱来模拟权限验证
• 如果你使用内置的 admin 角色，不需要手动映射账户，只要该账户是 Google Cloud 项目的管理员（Owner/Editor/App Engine Admin），就能自动访问受保护页面

内容的提问来源于stack exchange，提问作者Rodrigo Borba