Aplique una política que permita direcciones IP externas (públicas) solo en instancias de VM aprobadas en todas las VPC. ¿Qué debería hacer?

La opción correcta es establecer una política de la organización con la restricción constraints/compute.vmExternalIpAccess y listar las instancias aprobadas en allowedValues. Esta restricción de política de la organización controla si las VM pueden tener direcciones IP externas. Al configurar allowedValues, se especifica exactamente qué instancias de VM tienen permitido tener una IP externa, lo que cumple con el requisito de permitir direcciones IP externas solo en instancias aprobadas en todas las VPC. Eliminar la ruta predeterminada en todas las VPC y mover instancias a una nueva subred con una ruta predeterminada es una solución operativa compleja y propensa a errores que no utiliza las capacidades de control centralizado de Google Cloud. Crear una nueva VPC en modo personalizado y una subred con una ruta predeterminada solo aborda una parte del problema y no aplica la política de manera uniforme en todas las VPC existentes. Implementar Cloud NAT no elimina la necesidad de direcciones IP externas para las instancias que deben tenerlas; Cloud NAT proporciona conectividad saliente para instancias sin IP externas, pero no controla el acceso de IP externas a instancias específicas.