ну смотри, при запросе ставим в мета данные сервиса который делает запрос, и уже на уровне приложения в том же guard смотрим если мс может запросить данные от нас или слать его нужно
Как это сделать на уровне приложения - я понимаю. Просто бывает так, что часть функций надо ограничивать в Nginx. Например, чтобы фронт публичный имел доступ не ко всей функциональности. И тогда админы пишут правило по маске на урлы: например, все урлы, которые начинаются с /private/*, снаружи недоступны. Как это делать в случае с grpc, торчащим наружу, я не очень понимаю, кроме того, непонятно, что будет писаться в access-лог. Урл-то одинаковый везде будет