自定义 VPC 中的 VM 只有内部 IP，无法访问互联网。它们必须访问项目中的 Cloud Storage 存储桶中的对象。您应该怎么做？

对于只有内部 IP 的虚拟机，启用 Private Google Access 允许它们通过 Google 的内部网络访问 Google API 和服务（包括 Cloud Storage），而无需通过公共互联网。这是最安全和推荐的方法。 启用 Private Service Access 适用于将您的 VPC 连接到服务提供商的 VPC，例如 Cloud SQL 或 Memorystore，而不是让您的 VM 访问公共 Google 服务。VPC Service Controls 旨在创建安全边界以防止数据泄露，而不是提供对服务的访问。创建 Cloud NAT 会为 VM 提供出站互联网访问权限，这虽然可以访问 Cloud Storage 的公共端点，但引入了不必要的公共 IP 暴露，且不如 Private Google Access 安全和高效。