为不使用 Google 帐号的运维合作伙伴授予对 Linux Compute Engine 虚拟机的 SSH 访问权限。您应该怎么做？

正确答案是为 Compute Engine 实例启用 IAP TCP 转发，并授予合作伙伴 Cloud IAP Tunnel User 角色。IAP TCP 转发允许您通过 Google 的全球网络安全地访问虚拟机，而无需公共 IP 地址或开放防火墙端口。这对于不使用 Google 账号的外部合作伙伴尤其有用，因为他们可以通过自己的身份验证系统进行身份验证，然后通过 IAP 隧道访问虚拟机。 将通用网络标签应用于实例并创建 VPC 防火墙规则允许来自特定网络的 SSH 访问，但这需要合作伙伴拥有静态公共 IP 地址，并且会暴露 SSH 端口，安全性较低。建立 Cloud VPN 是一种更复杂的解决方案，通常用于两个网络之间的广泛连接，而不是单个虚拟机的 SSH 访问。让合作伙伴生成 SSH 密钥对并将其公钥添加到虚拟机实例是传统的 SSH 访问方法，但它需要手动管理密钥，并且不提供 IAP 提供的额外安全层。