在所有 VPC 中，只允许经批准的 VM 实例使用外部（公共）IP 地址。您应该怎么做？

正确答案是使用约束 constraints/compute.vmExternalIpAccess 设置组织策略，并在 allowedValues 中列出经批准的实例。此组织策略直接控制哪些 VM 实例可以拥有外部 IP 地址。通过将其设置为“拒绝所有”，然后使用 allowedValues 明确指定允许的实例，您可以精确地管理访问权限。 移除所有 VPC 上的默认路由并移动实例会中断所有实例的互联网访问，并且管理复杂。创建新的自定义模式 VPC 和子网并设置默认路由，虽然可以隔离，但不能强制执行哪些实例可以拥有外部 IP 的细粒度控制。实施 Cloud NAT 消除了对外部 IP 的需求，但问题是关于允许“经批准的 VM 实例”使用外部 IP，而不是完全消除它们。