防止数据通过 Cloud VPN 连接从 BigQuery 渗透到本地；强制实施控制措施以防范内部威胁和意外共享。

正确答案是“为项目边界配置 VPC Service Controls 并启用 Private Google Access”。VPC Service Controls 创建了一个安全边界，以防止数据从受支持的服务（如 BigQuery）渗透出去。通过将 BigQuery 包含在服务边界内，可以阻止未经授权的访问和数据外泄，即使是通过 Cloud VPN 连接。启用 Private Google Access 允许本地资源通过内部 IP 地址访问 Google 服务，而无需通过公共互联网，从而增强了安全性。 “仅为本地配置 Private Google Access”不足以防止数据渗透，因为它只解决了访问方式，未建立数据边界。“创建服务账号并限制权限”是良好的安全实践，但不能完全阻止数据外泄，因为拥有这些权限的服务账号仍然可能被滥用。“配置 Private Google Access”本身不提供数据外泄防护，它只是允许私有访问 Google 服务。