Un desarrollador en una laptop necesita acceso kubectl a un plano de control de un clúster GKE privado que no tiene un endpoint maestro público. ¿Qué enfoque proporciona acceso seguro sin exponer el plano de control públicamente?

La opción correcta es crear una VM bastión en la VPC del clúster. Un clúster GKE privado sin un endpoint maestro público solo es accesible desde dentro de su red VPC. Una VM bastión actúa como un punto de salto seguro dentro de la VPC, permitiendo al desarrollador usar SSH o gcloud proxy para acceder al plano de control privado de forma segura sin exponerlo a Internet. Configurar Cloud NAT no permite el acceso entrante al plano de control; solo permite que las instancias sin IPs públicas inicien conexiones salientes a Internet. Añadir una regla de firewall de VPC para permitir la IP de la laptop directamente desde Internet no funcionaría, ya que el plano de control no tiene una IP pública y no es directamente enrutado desde Internet. Asignar una IP pública a un nodo no proporciona acceso al plano de control; los nodos son parte del plano de datos y no actúan como proxies para el plano de control.