In einem Hub-and-Spoke VPC-Peering-Design verfügt eine private GKE-Steuerungsebene in einem Spoke über autorisierte Netzwerke, die auf das Knoten-Subnetz eingestellt sind, aber die Steuerungsebene ist von anderen Spokes aus nicht erreichbar. Wie ermöglichen Sie den Zugriff von anderen Spokes?

Die Bereitstellung eines Proxys im selben Spoke-Projekt wie die GKE-Knoten und die Weiterleitung des Datenverkehrs über diesen Proxy ist die korrekte Lösung. Die private GKE-Steuerungsebene ist standardmäßig nur über die autorisierten Netzwerke erreichbar, die in ihrem eigenen Spoke-Projekt konfiguriert sind. Da VPC-Peering nicht transitiv ist, können andere Spokes nicht direkt auf die Steuerungsebene zugreifen, selbst wenn sie mit dem Hub verbunden sind. Ein Proxy im selben Spoke-Projekt kann den Zugriff von anderen Spokes vermitteln. Das Hinzufügen einer Firewall-Regel ist unzureichend, da die Steuerungsebene die Verbindungen von nicht autorisierten Netzwerken ablehnt. Das Aktivieren von Private Google Access ist für den Zugriff auf Google APIs gedacht, nicht für die GKE-Steuerungsebene. Das Konfigurieren der autorisierten Netzwerke mit den Subnetzbereichen der anderen Spoke-Projekte würde zwar funktionieren, ist aber aufgrund der Transitivitätseinschränkung des VPC-Peerings nicht direkt möglich, es sei denn, jeder Spoke peert direkt mit dem GKE-Spoke, was die Hub-and-Spoke-Architektur untergräbt.