Verhindern Sie externe IPs auf Backend-Compute Engine-Instanzen, während Sie diese nur auf Frontend-Instanzen zulassen.

Die Organisationsrichtlinienbeschränkung "compute.vmExternalIpAccess" ist der effektivste Weg, um die Zuweisung externer IP-Adressen auf VM-Instanzen zu steuern. Sie können diese Richtlinie auf Projektebene anwenden und so festlegen, dass externe IPs nur für das Frontend-Projekt zulässig sind, während sie für Backend-Projekte blockiert werden. Dies gewährleistet eine konsistente und durchsetzbare Sicherheitskontrolle. Das Entziehen der Rolle compute.networkAdmin würde die Erstellung externer IPs zwar erschweren, aber nicht verhindern, da andere Rollen diese Berechtigung ebenfalls haben könnten. Das Zuweisen von IT-Mitarbeitern zur Rolle compute.networkAdmin auf Organisationsebene würde das Problem verschärfen, da sie dann externe IPs überall zuweisen könnten. Eine benutzerdefinierte IAM-Rolle, die compute.addresses.create gewährt, würde die Zuweisung externer IPs ermöglichen und somit nicht die gewünschte Einschränkung erreichen.