Você ativou o Private Google Access em sub-redes, mas a saída da internet é direcionada para o ambiente on-prem e o VPC Service Controls está em uso. Quais alterações de DNS e roteamento permitem que as instâncias acessem as APIs do Google enquanto mantêm a inspeção on-prem?

A opção correta permite o acesso às APIs do Google com VPC Service Controls e inspeção on-prem. Primeiro, a criação de uma zona DNS privada com um CNAME para .googleapis.com apontando para restricted.googleapis.com e um registro A para o intervalo de IPs da API restrita direciona o tráfego para os endpoints que suportam VPC Service Controls. Segundo, uma rota personalizada para o intervalo de IPs da API restrita com o gateway de internet padrão como próximo salto garante que o tráfego seja roteado corretamente para a internet, permitindo a inspeção on-prem antes de chegar às APIs do Google. As outras opções estão incorretas porque: usar private.googleapis.com não suporta VPC Service Controls; alterar a rota padrão (0.0.0.0/0) pode desviar todo o tráfego da inspeção on-prem ou não direcionar especificamente o tráfego da API restrita.