跨項目推送pub sub和防火牆規則

Question

我有一個項目，叫它Project A。我已創建訂閱Project B所有的發佈/訂閱主題。此訂閱配置爲將推送通知傳遞到我的端點。我想創建一些防火牆規則來限制對處理髮布/訂閱通知的實例的訪問，以便只有Google在發送通知時才能訪問這些實例。我不希望任何其他入站流量到主機。我怎樣才能做到這一點？

Answer 1

我不認爲這是可能的。從 https://cloud.google.com/pubsub/docs/subscriber#pubsub-pull-messages-csharp

目前唯一支持的端點是HTTPS服務器，它可以 接受網絡掛接交付。請注意，Webhook 必須使用 的HTTPS URL可從公共網絡訪問。接收端點可能是 與發佈/訂閱訂閱分離;因此來自多個 訂閱的消息可能會發送到單個端點。

要回答一個更大的問題可能是與你有關的：

如何防止攻擊者發佈虛假消息，我的終點？

這個問題的答案是在項目A和項目B之間共享一個祕密，並且在消息屬性中包含該祕密的人工產物。用私鑰簽名消息，並將簽名包含在屬性中。然後，端點接收消息並根據公鑰驗證簽名。