内部App Engineモジュール間でリクエストを認証するにはどうすればよいですか？

Question

Google App Engineには2つのモジュール（AとB）で構成されるアプリケーションがあります。 Aはユーザーの要求を処理し、認証なしで利用できます。 Bは、Aが必要なときに特定のタスクを実行するマイクロサービスです。だから我々はurlfetch使用BからA作るの要求を持っている：

from google.appengine.api import urlfetch 
from google.appengine.api import app_identity 
rpc = urlfetch.create_rpc() 
urlfetch.make_fetch_call(
    rpc, 
    "https://b-dot-my-project.appspot.com/some/url", 
    method='GET', 
    follow_redirects=False, 
    headers = { 
     'X-Appengine-Inbound-Appid': 'my-project', 
    }, 
) 
response = rpc.get_result() 

Bのapp.yamlのようなものになります。docsで

runtime: python27 
api_version: 1 
threadsafe: yes 
service: b 

handlers: 
- url: /.* 
    script: my_module.app 
    login: admin 
    auth_fail_action: unauthorized 

を、彼らはお勧め：

が要求を発行する場合別のApp Engineアプリに、App Engineアプリ がそのIDをアサートする必要がありますyヘッダに X-Appengine-Inbound-Appidを追加してリクエストに追加します。 フェッチサービスがリダイレクトに従わないようにする場合、App Engineはこのヘッダ をリクエストに自動的に追加します。

私が何をしても、私はこの要求をするときに401を得続けます。 AとBの両方が同じプロジェクトにデプロイされています。 Bのログに要求ヘッダーとエラーが含まれていないため、のログに手動でという設定を試してみました（ただし、hereの理由で動作するとは思われませんでしたが）。条件は、ハンドラモジュールが実行される前に発生します。

私はむしろ、可能な場合Bへというだけでオプションlogin: adminを落とすよりも、認証Aに頼るようになり、ヘッダにのみ依存している、ためにデバッグ目的（プロジェクト管理者アカウントからBを呼び出すことができるように進歩して例）。

Answer 1

login:adminの代わりに、'HTTP_USER_AGENT': 'AppEngine-Google; (+http://code.google.com/appengine; appid: s~my-project)'のモジュールBリクエストのヘッダーを確認できます。それは、それがurlfetch、taskqueue、またはcronの仕事から来たことを伝えます。

Answer 2

設定でlogin: adminを指定する代わりに、Pythonライブラリを代わりに使用してください。https://cloud.google.com/appengine/docs/standard/python/refdocs/google.appengine.api.usersこの方法では、最初にアプリエンジンのヘッダーを確認し、管理者のGoogleユーザーにフォールバックできます。