Você tem vários microsserviços do Cloud Run: alguns devem ser acessíveis publicamente, outros exigem autenticação de identidade do Google. Use a abordagem mais segura e de baixa gerência para permitir o acesso público a alguns serviços, enquanto restringe outros a usuários autenticados. Como você configura o acesso?

A opção correta é a mais segura e de baixa gerência. Hospedar serviços públicos e restritos separadamente no Cloud Run permite configurar o IAP (Identity-Aware Proxy) apenas para os serviços restritos, garantindo que apenas usuários autenticados possam acessá-los. Para os serviços públicos, o IAP não é necessário. A configuração de entrada 'Internal and Cloud Load Balancing' para serviços restritos garante que eles não sejam acessíveis diretamente da internet, mas sim através de um balanceador de carga ou de outros serviços internos, onde o IAP pode ser aplicado. As outras opções são menos ideais porque: Habilitar o IAP para todos os microsserviços e criar um novo microsserviço para autenticação adiciona complexidade e um ponto único de falha desnecessário. Habilitar o IAP para todos os microsserviços e gerenciar ACLs com allAuthenticatedUsers para serviços públicos não é a forma mais segura, pois allAuthenticatedUsers permite acesso a qualquer usuário autenticado no Google, não apenas aos seus usuários específicos. Usar o Cloud Endpoints com Firebase Authentication para todos os microsserviços é uma solução válida para autenticação, mas o IAP é a solução nativa do Google Cloud para controle de acesso baseado em identidade, sendo mais integrada e de menor gerenciamento para este cenário específico.