Ein Entwickler auf einem Laptop benötigt kubectl-Zugriff auf eine private GKE-Cluster-Steuerungsebene, die keinen öffentlichen Master-Endpunkt hat. Welcher Ansatz bietet sicheren Zugriff, ohne die Steuerungsebene öffentlich zugänglich zu machen?

Eine Bastion-VM innerhalb derselben VPC wie der private GKE-Cluster ermöglicht sicheren Zugriff auf die Steuerungsebene. Da die Steuerungsebene keinen öffentlichen Endpunkt hat, muss der Zugriff aus dem privaten Netzwerk erfolgen. Die Bastion-VM dient als sicherer Sprungpunkt. Sie können SSH-Port-Forwarding oder den gcloud-Befehl "gcloud compute ssh --tunnel-through-iap" verwenden, um eine Verbindung von Ihrem Laptop zur Bastion-VM herzustellen und von dort aus auf die private Steuerungsebene zuzugreifen. Cloud NAT ist für ausgehenden Internetzugriff von privaten VMs gedacht, nicht für eingehenden Zugriff auf eine private Steuerungsebene. Eine Firewall-Regel allein kann keinen direkten Zugriff auf eine private IP-Adresse aus dem Internet ermöglichen. Die Zuweisung einer öffentlichen IP zu einem Knoten würde nur den Zugriff auf den Knoten selbst ermöglichen, nicht auf die private Steuerungsebene, und wäre zudem ein Sicherheitsrisiko.