笔记本电脑上的开发人员需要访问没有公共主端点的私有 GKE 集群控制平面。哪种方法可以在不公开控制平面的情况下提供安全访问？

在集群 VPC 中创建堡垒机（bastion VM）是访问私有 GKE 集群控制平面的推荐安全方法。堡垒机位于集群所在的 VPC 网络中，开发人员可以通过 SSH 或 gcloud proxy 连接到堡垒机，然后从堡垒机内部安全地访问私有控制平面，而无需将其暴露给公共互联网。 配置 Cloud NAT 旨在允许内部资源发起出站连接到互联网，而不是允许从互联网入站访问私有资源。添加 VPC 防火墙规则以直接从互联网访问私有主 IP 是不可行的，因为私有 IP 地址无法直接从互联网访问。为节点分配公共 IP 并将其用作控制平面代理会增加安全风险，并且不是访问控制平面的标准或推荐方法。