Las VM en una VPC personalizada tienen solo IP internas y no tienen acceso a Internet. Deben acceder a un objeto en un bucket de Cloud Storage dentro del proyecto. ¿Qué debe hacer?

La opción correcta es habilitar el Acceso privado a Google en la subred de la VPC personalizada. Esto permite que las VM con solo IPs internas en esa subred accedan a los servicios de Google, como Cloud Storage, utilizando las IPs internas de Google en lugar de requerir acceso a Internet. Las otras opciones son incorrectas: Habilitar el acceso a servicios privados en el bucket de Cloud Storage no es una característica de Cloud Storage; el acceso a servicios privados se configura a nivel de red. Agregar storage.googleapis.com a los servicios restringidos de un perímetro de Controles de servicio de VPC e incluir su proyecto como un recurso protegido es para seguridad y prevención de exfiltración de datos, no para habilitar el acceso desde VMs internas. Crear un Cloud NAT y enrutar la salida de la subred a través de NAT para llegar al endpoint público del bucket de Cloud Storage funcionaría, pero el Acceso privado a Google es una solución más eficiente y segura para este caso, ya que mantiene el tráfico dentro de la red de Google y no requiere IPs externas.