Um aplicativo interno da empresa em uma única VM do Compute Engine deve permitir que os usuários do Google Workspace se autentiquem de qualquer lugar. O que você deve fazer?

A opção correta é adicionar um balanceador de carga HTTP(S) e configurar o Identity-Aware Proxy (IAP). O IAP permite controlar o acesso a aplicativos baseados na web em máquinas virtuais do Compute Engine, verificando a identidade do usuário e o contexto da solicitação. Ele se integra diretamente com as identidades do Google Workspace, permitindo que os usuários da empresa se autentiquem de qualquer lugar sem a necessidade de uma VPN. O balanceador de carga é necessário para expor o aplicativo ao IAP e à internet de forma escalável e segura. As outras opções são menos ideais: Adicionar um IP público e usar regras de firewall com proxy da empresa restringe o acesso a um único ponto de entrada, o que não atende ao requisito de "qualquer lugar" e não oferece autenticação baseada em identidade do Google Workspace. Configurar um túnel VPN exige que os usuários estejam conectados à VPN da empresa, o que contradiz o requisito de acesso "de qualquer lugar". Adicionar um IP público e distribuir um subdomínio com hash não oferece autenticação ou autorização robusta, sendo uma solução insegura e ineficiente para controle de acesso.