はじめに

GoogleCloudに対してのIP開放したところ、思った箇所以外に変更が必要な箇所があり、App Engineに対するIPアドレス制限について記載する。

今回の問題が発生した構成

サーバレスの構成でLB配下にCloudStorage、App Engine、CloudFunctionsをぶら下げている。
App Engine、CloudFunctionsに対するCloudArmorの設定は可能だが、CloudStorageに対するCloudArmorの適用はできない(※)。
LB配下にぶら下げたCloudStorageにコンテンツを配置した場合、アクセス制限をかけたかったので、リバプロとして動作させるApp Engineを作成し、間にかませる構成にし、App Engineに紐付けたCloudArmorでアクセス制限した。

※なお、2022/6にCloudStorageへのCloudArmorでのアクセス制限が可能になった！個人的にこのことがあったので熱いアプデ
https://cloud.google.com/blog/ja/products/identity-security/cloud-armor-adds-more-edge-security-policies-proxy-load-balancers

App Engineに紐付いているCloudArmorにてIPアドレスを許可しても、アクセス可能にならなかった

すべてのトラフィックを許可する設定になっていたが、LB経由ないし内部トラフィックのみに制限した(App Engine側で制御するなら変えなくてもよかったと思います)。

App Engineのファイアウォールでの制限はせずに基本的にすべて許可とした。

CloudArmor
- 今やLBにぶら下がる、CloudStorage、CDNに対しても制限可能であり、App Engine、Cloud Run、Cloud Functionsなど(サーバーレスネットワークエンドポイントグループ)に対してWAF機能を提供することができる
App EngineのINGRESS設定
- ここはIP制限とは少し違うがパブリックで受けるのかLB経由のみ受けるのか、内部通信のみ受けるのか、を選択することが可能
App Engineのファイアウォール
- App Engineに対するアクセス制限をIPアドレスですることが可能

AWSのEC2でいうと、ただOS上のfirewalldで制限してて、インスタンスのSGでIP許可しても駄目だったみたいな感じと思うと情けないです。。
近々App EngineをやめてCloudStorageに対してCloudArmorをかけるかたちに変えたいと思います。