Evite las IP externas en las instancias de backend de Compute Engine, permitiéndolas solo en las instancias de frontend.

La opción correcta es aplicar una restricción de política de la organización. Las políticas de la organización permiten establecer reglas a nivel de la organización, carpeta o proyecto para controlar el uso de recursos. En este caso, la restricción "constraints/compute.vmExternalIpAccess" se puede usar para especificar qué instancias de Compute Engine pueden tener IP externas. Al aplicar esta política para permitir IP externas solo en las instancias de frontend, se asegura el cumplimiento de la directriz de seguridad de forma centralizada y escalable. Revocar el rol compute.networkAdmin no impide la asignación de IP externas, solo limita quién puede realizar ciertas acciones de red. Asignar compute.networkAdmin a nivel de organización es una medida de seguridad opuesta, ya que otorga amplios permisos. Crear un rol de IAM personalizado que otorgue compute.addresses.create solo controla quién puede crear direcciones IP, no quién puede asignarlas a instancias o si estas pueden ser externas.