将Google OAuth客户端限制为仅限App Engine

Question

我们使用端点在Python中构建App Engine应用程序。访问它是受限制的。

我们有使用服务帐户与App Engine连接的软件。有了这个服务帐户，我们还可以访问Google云端存储来创建存储桶。

现在，我们希望允许为编写自己的软件的特定客户访问App Engine（而不是云存储）。所以他们的软件将是他们的最终用户。

我们必须创建什么并与客户共享，以便他们的软件只能通过App Engine进行身份验证？

似乎无法使用服务帐户，因为这样可以访问云存储。