Plusieurs VM réparties sur plusieurs VPC ont besoin d'un accès sortant à Internet, mais ne peuvent pas avoir d'adresses IP publiques. Seuls des sous-réseaux spécifiques doivent être autorisés à utiliser Cloud NAT, et vous souhaitez éviter les erreurs de configuration accidentelles et suivre les pratiques recommandées par Google. Que devez-vous faire ?

La bonne réponse est de créer une stratégie d'organisation constraints/compute.restrictCloudNATUsage et de l'appliquer au dossier contenant les projets, en définissant allowedValues sur les sous-réseaux autorisés. Ensuite, déployez Cloud NAT et sélectionnez uniquement les sous-réseaux autorisés. Cette approche utilise une contrainte de stratégie d'organisation pour appliquer les meilleures pratiques de Google en matière de gouvernance, garantissant que seuls les sous-réseaux spécifiés peuvent utiliser Cloud NAT et empêchant les erreurs de configuration accidentelles. Les règles de pare-feu ne contrôlent pas l'utilisation de Cloud NAT, mais le trafic réseau. La configuration manuelle de plages de sources personnalisées dans Cloud NAT est moins robuste que l'utilisation d'une contrainte de stratégie d'organisation pour appliquer la conformité à l'échelle de l'organisation. Déployer Cloud NAT dans chaque VPC sans une contrainte de stratégie d'organisation ne garantit pas que seuls les sous-réseaux autorisés l'utiliseront.