Um aplicativo em uma VM sem um IP externo precisa chamar as APIs do Google Cloud Storage de forma privada. Qual configuração na sub-rede da VM permite isso sem dar à VM um IP externo?

Habilitar o Private Google Access para a sub-rede é a solução correta porque permite que VMs sem IPs externos na sub-rede acessem APIs e serviços do Google, como o Cloud Storage, através da rede interna do Google. Isso garante comunicação privada e segura sem expor a VM à internet. Criar um endpoint do Private Service Connect para o armazenamento gs:// não é a solução mais direta para este cenário. O Private Service Connect é mais usado para consumir serviços publicados por outros produtores de serviços ou para acessar APIs do Google de forma mais controlada, mas o Private Google Access é o mecanismo padrão para VMs sem IP externo acessarem serviços do Google. Fazer peering da VPC com a rede do Google via VPC Network Peering não é aplicável aqui. O VPC Network Peering é usado para conectar duas redes VPC distintas, não para permitir que VMs sem IP externo acessem serviços do Google. Atribuir um nome DNS público à VM e usar o Cloud NAT não é a solução. O Cloud NAT é usado para permitir que VMs sem IPs externos iniciem conexões de saída para a internet, mas o Private Google Access é para acesso a serviços do Google de forma privada, sem passar pela internet pública. Além disso, atribuir um nome DNS público à VM não resolve a questão do acesso privado.