Você deve projetar uma VPC Compartilhada para que Produção e Staging se comuniquem apenas por redes específicas e a equipe de rede/segurança controle rigorosamente a exposição de rotas. Seguindo as melhores práticas do Google, como você deve arquitetar isso?

A melhor prática do Google para este cenário é criar uma única VPC no projeto host e compartilhar sub-redes específicas com os projetos de serviço (Produção e Staging). Isso permite um controle granular sobre quais redes são expostas a cada ambiente, atendendo ao requisito de comunicação apenas por redes específicas. A equipe de rede/segurança mantém controle rigoroso sobre a exposição de rotas, pois as sub-redes são explicitamente compartilhadas. As outras opções são incorretas porque: Criar 2 VPCs compartilhadas no projeto host e usar peering de VPC ou Cloud VPN/Cloud Router é desnecessariamente complexo e não é a maneira recomendada de gerenciar ambientes distintos dentro do mesmo Shared VPC. O Shared VPC foi projetado para consolidar recursos de rede em uma única VPC. Criar 2 VPCs compartilhadas em projetos de serviço não é possível, pois o Shared VPC é configurado no projeto host.