Várias VMs em diferentes VPCs precisam de acesso de saída à internet, mas não podem ter IPs públicos. Apenas sub-redes específicas devem ter permissão para usar o Cloud NAT, e você deseja evitar configurações incorretas acidentais e seguir as práticas recomendadas do Google. O que você deve fazer?

A opção correta utiliza a política organizacional constraints/compute.restrictCloudNATUsage para impor quais sub-redes podem usar o Cloud NAT. Ao anexar esta política à pasta e definir allowedValues para as sub-redes permitidas, você garante que apenas essas sub-redes possam ser configuradas para o NAT, prevenindo configurações incorretas acidentais e seguindo as práticas recomendadas de governança do Google Cloud. As outras opções são incorretas porque: As regras de firewall controlam o tráfego de rede, mas não restringem a configuração do Cloud NAT em si. Configurar intervalos de origem personalizados no Cloud NAT permite flexibilidade, mas não impede que outras sub-redes sejam acidentalmente configuradas para usar o NAT. A implantação do Cloud NAT em cada VPC com regras personalizadas ainda não oferece a garantia de governança centralizada e prevenção de erros que uma política organizacional proporciona.