Dans une architecture de peering VPC en étoile (hub-and-spoke), un plan de contrôle GKE privé dans un spoke a des réseaux autorisés configurés pour le sous-réseau des nœuds, mais le plan de contrôle est inaccessible depuis d'autres spokes. Comment autoriser l'accès depuis d'autres spokes ?

La bonne réponse est de déployer un proxy. Les réseaux autorisés du plan de contrôle GKE privé limitent l'accès à des plages d'adresses IP spécifiques. Dans une architecture hub-and-spoke avec peering VPC, les spokes ne peuvent pas directement communiquer avec le plan de contrôle GKE privé d'un autre spoke, même si des routes existent, car l'accès est bloqué au niveau du plan de contrôle lui-même. Un proxy déployé dans le même spoke que le cluster GKE peut relayer les requêtes des autres spokes vers le plan de contrôle, car il se trouve dans une plage d'adresses IP autorisée. Les autres options sont incorrectes : Une règle de pare-feu n'autorisera pas l'accès si le plan de contrôle GKE refuse la connexion en raison des réseaux autorisés. L'Accès Google Privé permet aux VM sans IP externe d'atteindre les API et services Google, mais n'affecte pas l'accès au plan de contrôle GKE privé depuis d'autres réseaux VPC. Configurer les réseaux autorisés avec les plages de sous-réseaux des autres spokes n'est pas possible car les réseaux autorisés ne peuvent pas inclure des plages d'adresses IP privées qui ne sont pas directement routables vers le plan de contrôle via le peering VPC. Le peering VPC ne supporte pas le routage transitif, ce qui signifie qu'un spoke ne peut pas atteindre directement le plan de contrôle d'un autre spoke via le hub.