Um cliente on-premises envia solicitações por meio de uma Cloud VPN e parece vir de um projeto que está fora de um perímetro do VPC Service Controls que protege um bucket do Cloud Storage. Esse cliente on-premises conseguirá acessar o bucket protegido por padrão?

O VPC Service Controls visa proteger recursos de dados, como buckets do Cloud Storage, restringindo o acesso a eles apenas a identidades e recursos dentro de um perímetro de serviço definido. Se uma solicitação parece vir de fora desse perímetro (como um projeto não incluído), ela será bloqueada por padrão. Para permitir o acesso de fontes externas, como um cliente on-premises conectado via Cloud VPN, é necessário configurar explicitamente um método de acesso, como uma ponte de perímetro (perimeter bridge) ou uma regra de entrada/saída (ingress/egress rule), que autorize essa comunicação. As outras opções estão incorretas porque o tráfego da Cloud VPN não ignora automaticamente o VPC Service Controls, o Private Google Access não concede acesso automaticamente através de perímetros de segurança, e o Private Service Connect é usado para consumir serviços publicados, não para acesso direto a buckets protegidos por perímetros de serviço de ambientes on-premises.