スマホアプリのバックエンド（API）はCloud Runで作ったけど、アクセス制御はどうすべきか？

Question

スマホアプリのバックエンド（API）をCloud Runにデプロイしました。
API自身はFirebase Authenticationで認証を実装しています。
例えばAPIを公開したくないなら、IAMによるCloud Runへアクセス制御できます。
ただ、こういった場合、スマホアプリにCloud Run Invoker権限のサービスアカウントキーを配分する必要がありますね。
皆さんはどうしていますか？