Private GKE-Knoten ohne externe IPs können keine Container-Images aus Artifact Registry oder Container Registry pullen. Was ist die korrekte, sichere Lösung?

Private GKE-Knoten ohne externe IPs können standardmäßig keine Verbindung zu externen Diensten wie Artifact Registry oder Container Registry herstellen, da sie keinen direkten Internetzugang haben. Ein Cloud NAT-Gateway bietet eine sichere und skalierbare Möglichkeit für Instanzen ohne externe IP-Adressen, ausgehende Verbindungen zum Internet herzustellen, ohne eingehende Verbindungen zu ermöglichen. Dies erlaubt den Knoten, Images zu pullen, während sie privat bleiben. Eine VPC-Firewall-Regel allein reicht nicht aus, da die Knoten immer noch keine Route ins Internet haben. Ein regionaler interner Load Balancer ist für den Lastenausgleich innerhalb der VPC gedacht und kann keine Verbindung zu externen Diensten herstellen. Externe IPs an die Knoten anzuhängen, würde die Knoten nicht mehr privat machen und widerspricht der Anforderung "ohne externe IPs".