构建一个由 Compute Engine 托管的企业工具，该工具对用户进行身份验证并限制财务部门的访问（所有用户都在 G Suite 中）。您应该怎么做？

此方案要求对G Suite用户进行身份验证并基于部门限制访问。Cloud Identity-Aware Proxy (IAP) 是最适合此用例的Google Cloud服务。IAP与G Suite集成，可以根据Google Group成员身份授予或拒绝访问。在HTTP(S)负载均衡器上启用IAP，并将其配置为仅允许财务部门的Google Group访问，可以满足身份验证和访问限制的要求。应用程序随后可以验证IAP提供的JSON Web Token (JWT) 以获取用户身份信息。 其他选项不正确的原因： 颁发客户端证书会增加管理复杂性，并且IAP已经提供了基于G Suite的身份验证，无需额外的证书管理。 Cloud Armor安全策略主要用于基于IP地址、地理位置或HTTP请求参数进行访问控制，而不是基于G Suite用户身份进行身份验证和授权。它无法直接满足G Suite用户身份验证和部门访问限制的需求。