Una aplicación interna de la empresa en una única VM de Compute Engine debe permitir que los usuarios de Google Workspace se autentiquen desde cualquier lugar. ¿Qué debe hacer?

La opción correcta es agregar un balanceador de carga HTTP(S) con Identity-Aware Proxy (IAP). IAP permite controlar el acceso a sus aplicaciones web alojadas en Google Cloud basándose en la identidad del usuario y el contexto de la solicitud, utilizando las identidades de Google Workspace. Esto elimina la necesidad de una VPN o de exponer la VM directamente a internet, ya que IAP actúa como un punto de autenticación centralizado y seguro. Las otras opciones son menos seguras o más complejas: Restringir el acceso por IP pública y firewall es menos seguro y no gestiona la autenticación de usuarios de Google Workspace. Una VPN es una solución más compleja para este caso de uso, ya que requiere configuración y mantenimiento de infraestructura de red, y no se integra directamente con la autenticación de Google Workspace para la aplicación web. Exponer la instancia directamente con un subdominio aleatorio no proporciona seguridad de autenticación ni autorización, dejando la aplicación vulnerable.