Nós privados do GKE sem IPs externos não conseguem baixar imagens de contêiner do Artifact Registry ou Container Registry. Qual é a correção correta e segura?

A opção correta é criar e configurar um gateway Cloud NAT para a sub-rede. Nós privados do GKE sem IPs externos precisam de uma forma de acessar a internet para baixar imagens de contêiner de serviços como o Artifact Registry ou Container Registry. O Cloud NAT fornece tradução de endereços de rede (NAT) para instâncias sem IPs externos, permitindo que elas iniciem conexões de saída para a internet de forma segura, sem expor as instâncias diretamente. A habilitação de uma regra de firewall de saída na porta 443 não é suficiente, pois os nós ainda não teriam um IP público para rotear o tráfego para a internet. Implantar um balanceador de carga interno não ajudaria, pois o Artifact Registry é um serviço externo e não seria acessado por um balanceador de carga interno. Anexar IPs externos aos nós é uma solução, mas não é a mais segura, pois expõe os nós diretamente à internet, o que geralmente é evitado em ambientes de produção por razões de segurança.