Un développeur sur un ordinateur portable a besoin d'un accès kubectl à un plan de contrôle de cluster GKE privé qui n'a pas de point de terminaison maître public. Quelle approche permet un accès sécurisé sans exposer publiquement le plan de contrôle ?

Pour accéder en toute sécurité à un plan de contrôle GKE privé sans point de terminaison public, une VM bastion est la méthode recommandée. Cette VM est déployée dans le même VPC que le cluster GKE. Le développeur peut ensuite se connecter à la VM bastion via SSH ou utiliser la fonctionnalité de proxy de gcloud pour acheminer le trafic kubectl vers le plan de contrôle privé. Cela maintient le plan de contrôle isolé du réseau public. Configurer Cloud NAT ne rendrait pas le plan de contrôle accessible depuis Internet ; il permet aux instances privées d'initier des connexions sortantes vers Internet. Ajouter une règle de pare-feu VPC pour l'adresse IP de l'ordinateur portable ne fonctionnerait pas, car le plan de contrôle n'a pas d'adresse IP publique et n'est pas directement accessible depuis Internet. Attribuer une IP publique à un nœud et l'utiliser comme proxy est une mauvaise pratique de sécurité et ne permettrait pas un accès direct au plan de contrôle.