Você deve implantar um cluster GKE que possa alcançar serviços de Internet de terceiros, enquanto as instâncias do Compute Engine não têm permissão para ter IPs públicos. Qual configuração de rede atende a esse requisito?

A opção correta é configurar o cluster GKE como um cluster privado e o Cloud NAT Gateway para a sub-rede do cluster. Um cluster GKE privado garante que os nós do cluster não tenham IPs públicos, atendendo ao requisito de segurança. O Cloud NAT Gateway permite que instâncias sem IPs públicos (como os nós do GKE privado) acessem a Internet para serviços de terceiros, traduzindo seus IPs internos para um IP público do NAT. Configurar apenas o cluster GKE como privado e o Private Google Access na VPC não é suficiente, pois o Private Google Access permite acesso apenas a APIs e serviços do Google, não a serviços de Internet de terceiros. Um cluster GKE baseado em rota não é a melhor opção para segurança, pois os nós ainda podem ter IPs públicos, o que contraria o requisito. Criar uma instância do Compute Engine como NAT Proxy é uma solução manual e menos escalável e resiliente do que o Cloud NAT gerenciado, além de adicionar um ponto único de falha e complexidade de gerenciamento.