Cloud Run で Identity-Aware Proxy (IAP) を使う

Cloud Armor 込みで、全体像を描いてくれている

Cloud RunでIAPを有効にしようとしてハマったこと | プログラミングブログ

自分も同じところでハマったので、助かった記事

IAPで認証後に 403 エラーになってしまっていた

以下のロール付与をしていなかった

3.IAM によるアクセス制御の手順に沿って、IAP がトラフィックを 

 バックエンド サービスに送信することを承認します。

 プリンシパル: service-(PROJECT-NUMBER)@gcp-sa-iap.iam.gserviceaccount.com