Imponha uma política em que endereços IP externos (públicos) sejam permitidos apenas em instâncias de VM aprovadas em todas as VPCs. O que você deve fazer?

A Organization Policy com a restrição constraints/compute.vmExternalIpAccess é a ferramenta correta para controlar a atribuição de IPs externos em toda a organização. Ao definir esta política e usar allowedValues, você pode especificar exatamente quais instâncias de VM têm permissão para ter IPs externos, garantindo que apenas as aprovadas os recebam. Remover a rota padrão e mover instâncias para uma nova sub-rede é uma solução complexa e ineficiente que não escala e pode interromper a conectividade. Criar uma nova VPC e sub-rede com rota padrão não impõe a política em todas as VPCs existentes ou futuras, sendo uma solução parcial. Implementar o Cloud NAT permite que instâncias sem IPs externos acessem a internet, mas não impede que IPs externos sejam atribuídos a instâncias não aprovadas, o que é o objetivo da política.