您需要限制项目中的 HA VPN 隧道，使其只能与本地 IP 203.0.113.1/32 对等。您如何在项目/组织级别强制执行此操作？

正确的答案是配置 Resource Manager 约束 constraints/compute.restrictVpnPeerIPs，并使用只包含 203.0.113.1/32 地址的 allowList。这个组织策略约束专门用于限制 HA VPN 隧道可以对等的外部 IP 地址。通过在项目或组织级别设置此约束，您可以强制所有新的或修改的 HA VPN 隧道只能与指定的本地 IP 地址建立连接，从而确保合规性。 防火墙规则（选项 A）控制的是流量，而不是 VPN 隧道的建立。Google Cloud Armor（选项 C）主要用于保护面向互联网的应用，与 VPN 对等体的建立无关。在对等 VPN 网关上配置 ACL（选项 D）是在本地网络侧进行控制，而不是在 Google Cloud 项目/组织级别强制执行策略。