Une application web servira du trafic HTTP/HTTPS à partir d'instances Compute Engine et vous avez besoin d'un accès SSH occasionnel depuis un ordinateur portable distant pour la maintenance, tout en suivant les bonnes pratiques de Google. Comment devez-vous configurer le réseau et l'accès ?

La bonne réponse est de configurer l'API Cloud Identity-Aware Proxy (IAP) pour l'accès SSH et les serveurs Compute Engine avec des adresses IP privées derrière un équilibreur de charge HTTP(S). IAP permet un accès SSH sécurisé aux instances sans exposer de ports SSH publics, ce qui est une bonne pratique de sécurité. L'équilibreur de charge HTTP(S) gère le trafic web de l'application vers les instances privées, améliorant la disponibilité et la scalabilité. Les autres options sont moins sécurisées ou moins efficaces : Un équilibreur de charge proxy TCP n'est pas optimal pour le trafic HTTP/HTTPS et ne résout pas le problème de l'accès SSH sécurisé. Autoriser tout le trafic entrant et attribuer des adresses IP externes uniques à chaque serveur est une mauvaise pratique de sécurité, exposant inutilement les instances. Utiliser un hôte bastion est une solution viable pour l'accès SSH, mais IAP est une solution plus intégrée et souvent plus simple à gérer dans Google Cloud, offrant un contrôle d'accès granulaire sans nécessiter la gestion d'une instance bastion supplémentaire.