Em um design de peering de VPC hub-and-spoke, um plano de controle GKE privado em um spoke tem redes autorizadas definidas para a sub-rede do nó, mas o plano de controle está inacessível a partir de outros spokes. Como você permite o acesso de outros spokes?

A resposta correta é implantar um proxy no projeto spoke onde os nós do GKE estão implantados e conectar-se ao plano de controle através do proxy. O plano de controle privado do GKE é acessível apenas a partir de redes autorizadas e da sub-rede do nó. Para permitir o acesso de outros spokes em um design hub-and-spoke, você precisa de um mecanismo para intermediar essa conexão. Um proxy dentro do spoke do GKE pode encaminhar as solicitações para o plano de controle. Adicionar uma regra de firewall não resolverá o problema, pois as redes autorizadas são uma restrição de segurança do plano de controle do GKE, não apenas de firewall. Habilitar o Private Google Access não é relevante para o acesso ao plano de controle do GKE a partir de outras VPCs. Configurar as redes autorizadas para incluir os intervalos de sub-rede dos outros projetos spoke funcionaria, mas geralmente não é a abordagem preferida em um design hub-and-spoke, pois expõe o plano de controle a mais redes e pode ser complexo de gerenciar em grande escala.