您运行一个批处理 Dataflow 流水线，该流水线从 Cloud Storage 读取数据并写入 BigQuery。组织策略要求 Compute Engine VM 只能使用内部 IP。您如何在没有外部 IP 的情况下部署 Dataflow worker 来访问 Cloud Storage 和 BigQuery？

在子网上启用 Private Google Access 允许没有外部 IP 地址的虚拟机实例通过 Google 的内部网络访问 Google API 和服务，例如 Cloud Storage 和 BigQuery。这是在仅使用内部 IP 的情况下访问这些服务的推荐和安全方法。其他选项不正确：为 Dataflow worker 提供网络标签或确保防火墙规则允许访问不足以使没有外部 IP 的 VM 访问 Google 服务。VPC Service Controls 旨在防止数据泄露，而不是为没有外部 IP 的 VM 提供服务访问。