如何在Google App Engine上运行私有模块？

Question

我有一个应用程序，我想分成三层：

1. 面向公众的网络服务
2. 私人网络服务
3. 私人数据存储

1）是无状态前端Web服务器，它呈现UI并且主要充当2）的代理。

2）必须只能从1）和不公共互联网访问。

3）必须只能从2）和不 1）或公共互联网访问。

我希望使用GAE托管的虚拟机来部署1）和2），而3）则部署到GCE。我很清楚如何在GCE中标记实例，以便我可以创建适用于3）的防火墙规则。但是，我不清楚如何标记1）和2）。我已经查看了app.yaml和其他东西上可以找到的任何文档，但在实例标记方面似乎没什么好处。

是否可以自动标记GAE实例，如果是，如何？