TL;DR

やりたいこと

GAEでWebアプリケーションをホストして、ファイルをアップロードしてGCSへ格納、それをトリガとしてCloudFunctionsでごにょごにょしたい

このやり方だと、ユーザ認証や認可がGAE1か所でシンプルだしなにより一般的なファイルPOSTプラスGCSのAPIで実装できるので簡単！
動作確認もOK！

の、はずでしたが．．．

ユーザテスト実施で、「ファイルがアップロードできないんだけど」との報告が

ファイルサイズがでかすぎるですって？！

なるほど。GAEへのリクエストのサイズ制限があるのね。確かに動作確認では数KBのファイルしか使ってなかったカモ。

でも直接GCSへアップロードさせるのもセキュリティを緩めたくないしなぁ。。。

ありました！Google推奨プラクティス「署名付きURL」！

これでOK！
つまりこう、

てなわけです。

ちょっと処理が複雑になるとともに、UIを変えずに変更となるとAjaxを使うことになるものの、Google推奨プラクティスでセキュアに実装できますね！

あぁよかった。

さて、動作確認。

署名付きURLへファイルをPUTしようとすると、今度はGCSから403（forbidden）エラーになってる！
~~Googleの嘘つき～~~

敵対象が分かれば対応はJustDoIt!
もちろん公式サイトにも記述があります。Googleありがとう！
つまりはGCSへPUTリクエストを出す側のドメイン（この例だとGAEのドメインね）からのアクセスを許してやる。てことね。

この構成は対象のGCSバケットに1度設定してやればOKなので、

コマンドラインから手で実行してやってもいいけど、
IaCとしてバケット作成時に自動で構成してもいいし、
環境ごと（本番/ステージング/開発）の差異（つまりはクライアントのドメイン）を一か所で管理したければGAEのアプリで最初に構成してやるって手もあるよね。（これだとローカルでGAEシミュレータから動かすときに再構成しやすいしね）

．．．なんてやり方で構成してやればOK。

「アップエンジン(GAE)へのアップロードは、サイズに注意、ドメイン注意」

私のハマった経験が皆様の良いDX（Developer Experience）の助けになれば幸せです。