Mehrere VMs über VPCs hinweg benötigen ausgehenden Internetzugang, dürfen aber keine öffentlichen IPs haben. Nur bestimmte Subnetze sollen Cloud NAT nutzen dürfen, und Sie möchten versehentliche Fehlkonfigurationen vermeiden und die von Google empfohlene Vorgehensweise befolgen. Was sollten Sie tun?

Die korrekte Option nutzt eine Organisationsrichtlinie, um die Nutzung von Cloud NAT auf bestimmte Subnetze zu beschränken. Dies ist der von Google empfohlene Ansatz, um Fehlkonfigurationen zu vermeiden und die Compliance zu gewährleisten. Die Richtlinie constraints/compute.restrictCloudNATUsage auf Ordnerebene stellt sicher, dass in allen Projekten innerhalb dieses Ordners nur die explizit erlaubten Subnetze Cloud NAT nutzen können. Nach dem Setzen der Richtlinie wird Cloud NAT bereitgestellt und so konfiguriert, dass es nur die zulässigen Subnetze bedient. Die anderen Optionen sind weniger ideal: Firewall-Regeln können den Zugriff auf das Internet steuern, aber sie verhindern nicht, dass Cloud NAT für unerwünschte Subnetze konfiguriert wird. Eine benutzerdefinierte Quellbereichskonfiguration ohne eine Organisationsrichtlinie bietet keine präventive Kontrolle auf Organisationsebene und ist anfälliger für menschliche Fehler. Das Bereitstellen von Cloud NAT in jeder VPC und das Konfigurieren von Regeln ist ineffizient und skaliert schlecht.