Sie müssen einen GKE-Cluster bereitstellen, der Drittanbieter-Internetdienste erreichen kann, während Compute Engine-Instanzen keine öffentlichen IPs zugewiesen werden dürfen. Welche Netzwerkkonfiguration erfüllt diese Anforderung?

Die korrekte Option ist, den GKE-Cluster als privaten Cluster zu konfigurieren und Cloud NAT Gateway für das Cluster-Subnetz einzurichten. Ein privater GKE-Cluster stellt sicher, dass die Compute Engine-Instanzen (Worker-Knoten) keine öffentlichen IP-Adressen haben, was eine grundlegende Sicherheitsanforderung ist. Cloud NAT ermöglicht es diesen Instanzen, ausgehende Verbindungen zu Drittanbieter-Internetdiensten herzustellen, indem es ihre privaten IP-Adressen in eine öffentliche IP-Adresse übersetzt, ohne dass die Instanzen selbst öffentliche IPs benötigen. Die Konfiguration eines privaten Clusters mit Private Google Access ist nicht ausreichend, da Private Google Access nur den Zugriff auf Google-Dienste (wie APIs und Speicher) über private IP-Adressen ermöglicht, nicht aber auf beliebige Drittanbieter-Internetdienste. Ein routenbasierter Cluster ist eine Betriebsart von GKE, die nichts mit der Zuweisung öffentlicher IPs zu tun hat. Das Erstellen einer Compute Engine-Instanz als NAT-Proxy ist eine manuelle und weniger skalierbare Lösung als Cloud NAT und würde eine zusätzliche Verwaltungslast bedeuten.