Setzen Sie eine Richtlinie durch, die externe (öffentliche) IP-Adressen nur auf genehmigten VM-Instanzen über alle VPCs hinweg zulässt. Was sollten Sie tun?

Die richtige Antwort ist die Festlegung einer Organisationsrichtlinie mit der Einschränkung constraints/compute.vmExternalIpAccess. Diese Richtlinie ermöglicht es, die Zuweisung externer IP-Adressen zu VM-Instanzen organisationsweit zu steuern. Durch die Angabe der genehmigten Instanzen in allowedValues können Sie präzise festlegen, welche VMs eine externe IP-Adresse erhalten dürfen, während alle anderen blockiert werden. Das Entfernen der Standardroute auf allen VPCs ist zu drastisch und würde die Konnektivität für alle Instanzen beeinträchtigen, nicht nur für die mit externen IPs. Das Erstellen einer neuen benutzerdefinierten VPC oder die Implementierung von Cloud NAT löst das Problem der Durchsetzung einer organisationsweiten Richtlinie für bestehende und neue Instanzen nicht direkt und ist eher eine Netzwerkarchitektur-Entscheidung als eine Richtliniendurchsetzung. Cloud NAT eliminiert zwar die Notwendigkeit direkter externer IPs für ausgehenden Traffic, verhindert aber nicht die Zuweisung externer IPs an sich.