आईएपी-संरक्षित ऐप के लिए सेवा खाता अनुरोध 'अमान्य जीसीआईपी आईडी टोकन: जेडब्ल्यूटी हस्ताक्षर अमान्य है' में परिणाम

मैं जीसीपी पर्यावरण के बाहर से पायथन के माध्यम से एक आईएपी-संरक्षित ऐप इंजन मानक ऐप को प्रोग्रामेटिक रूप से एक्सेस करने का प्रयास कर रहा हूं। मैंने यहां डॉक्स में दिखाई गई विधि सहित विभिन्न विधियों का प्रयास किया है: https://cloud.google.com/iap/docs/authentication-howto#iap-make-request-python। यहाँ मेरा कोड है:

from google.auth.transport.requests import Request
from google.oauth2 import id_token
import requests

def make_iap_request(url, client_id, method='GET', **kwargs):
    """Makes a request to an application protected by Identity-Aware Proxy.

    Args:
      url: The Identity-Aware Proxy-protected URL to fetch.
      client_id: The client ID used by Identity-Aware Proxy.
      method: The request method to use
              ('GET', 'OPTIONS', 'HEAD', 'POST', 'PUT', 'PATCH', 'DELETE')
      **kwargs: Any of the parameters defined for the request function:
                https://github.com/requests/requests/blob/master/requests/api.py
                If no timeout is provided, it is set to 90 by default.

    Returns:
      The page body, or raises an exception if the page couldn't be retrieved.
    """
    # Set the default timeout, if missing
    if 'timeout' not in kwargs:
        kwargs['timeout'] = 90

    # Obtain an OpenID Connect (OIDC) token from metadata server or using service
    # account.
    open_id_connect_token = id_token.fetch_id_token(Request(), client_id)
    print(f'{open_id_connect_token=}')

    # Fetch the Identity-Aware Proxy-protected URL, including an
    # Authorization header containing "Bearer " followed by a
    # Google-issued OpenID Connect token for the service account.
    resp = requests.request(
        method, url,
        headers={'Authorization': 'Bearer {}'.format(
            open_id_connect_token)}, **kwargs)
    print(f'{resp=}')
    if resp.status_code == 403:
        raise Exception('Service account does not have permission to '
                        'access the IAP-protected application.')
    elif resp.status_code != 200:
        raise Exception(
            'Bad response from application: {!r} / {!r} / {!r}'.format(
                resp.status_code, resp.headers, resp.text))
    else:
        return resp.text

if __name__ == '__main__':
    res = make_iap_request(
        'https://MYAPP.ue.r.appspot.com/',
        'Client ID from IAP>App Engine app>Edit OAuth Client>Client ID'
        )
    print(res)

जब मैं इसे स्थानीय रूप से चलाता हूं, तो मेरे पास GOOGLE_APPLICATION_CREDENTIALS पर्यावरण चर एक स्थानीय JSON क्रेडेंशियल फ़ाइल पर सेट होता है जिसमें उस सेवा खाते की कुंजी होती है जिसका मैं उपयोग करना चाहता हूं। मैंने इसे क्लाउड फ़ंक्शंस में चलाने का भी प्रयास किया है, इसलिए यह संभावित रूप से ऐप इंजन डिफ़ॉल्ट सेवा खाता (मुझे लगता है?) लेने के लिए मेटाडेटा सेवा का उपयोग करेगा।

दोनों ही मामलों में, मैं एक टोकन उत्पन्न करने में सक्षम हूं जो मान्य प्रतीत होता है। jwt.io का उपयोग करके, मैं देखता हूं कि इसमें अपेक्षित डेटा है और हस्ताक्षर मान्य है। हालांकि, जब मैं टोकन का उपयोग करके ऐप से अनुरोध करता हूं, तो मुझे हमेशा यह अपवाद मिलता है:

आवेदन से खराब प्रतिक्रिया: 401 / {'एक्स-गूग-आईएपी-जेनरेटेड-प्रतिक्रिया': 'सत्य', 'दिनांक': 'मंगल, 09 फरवरी 2021 19:25:43 जीएमटी', 'सामग्री-प्रकार': 'पाठ /html', 'सर्वर': 'Google फ़्रंटएंड', 'सामग्री-लंबाई': '47', 'Alt-Svc': 'h3-29=":443"; मा=२५९२०००,एच३-टी०५१=":४४३"; मा=२५९२०००,एच३-क्यू०५०=":४४३"; मा=२५९२०००,एच३-क्यू०४६=":४४३"; मा=२५९२०००,एच३-क्यू०४३=":४४३"; मा = २५९२०००, क्विक =": ४४३"; मा = २५९२०००; v="46,43"'} / 'अमान्य जीसीआईपी आईडी टोकन: जेडब्ल्यूटी हस्ताक्षर अमान्य है'

मुझ से ऐसी कौनसी गलती हो जाएगी?