Varias VM en diferentes VPC necesitan acceso saliente a Internet, pero no pueden tener IP públicas. Solo a subredes específicas se les debe permitir usar Cloud NAT, y usted desea evitar configuraciones erróneas accidentales y seguir las prácticas recomendadas de Google. ¿Qué debería hacer?

La opción correcta utiliza una política de organización (constraints/compute.restrictCloudNATUsage) para aplicar las mejores prácticas y evitar configuraciones erróneas. Esta restricción permite especificar qué subredes pueden usar Cloud NAT, asegurando que solo las subredes permitidas tengan acceso saliente a Internet. Al adjuntarla a una carpeta, la política se aplica a todos los proyectos dentro de esa carpeta, proporcionando un control centralizado y escalable. Las opciones incorrectas que sugieren reglas de firewall no controlan directamente qué subredes pueden usar Cloud NAT; solo controlan el tráfico de red. La opción de configurar rangos de origen personalizados en Cloud NAT es posible, pero no previene configuraciones erróneas accidentales a nivel organizacional como lo hace una política de restricciones.