https://docs.cloud.google.com/armor/docs/rate-limiting-overview
a unique key for each original client IP address, that is, the first IP address in the list of IPs specified in the X-Forwarded-For HTTP header.
訳: 元のクライアント IP ごとのキー。つまり X-Forwarded-For ヘッダーに並ぶ IP のうち先頭のもの。
- Cloud Armor のレート制限で「誰ごとに数えるか」（enforce-on-key）の 1 つ
- CDN やプロキシの後ろでは、LB から見える送信元 IP がプロキシの IP になる。そのままだと全員が 1 人として数えられるので、XFF の先頭（元のクライアント）で数える
- ヘッダーがない / 値が IP でない場合は、通常の IP キーにフォールバックする
- XFF の先頭はクライアントが自由に書けるので、偽装されうる点に注意