Applicare una policy che consenta gli indirizzi IP esterni (pubblici) solo sulle istanze VM approvate in tutti i VPC. Cosa dovresti fare?

L'opzione corretta è impostare un'Organization Policy con il vincolo constraints/compute.vmExternalIpAccess e specificare le istanze approvate in allowedValues. Questo vincolo di Organization Policy consente di controllare l'assegnazione di indirizzi IP esterni alle VM a livello di organizzazione, cartella o progetto. Specificando le istanze approvate in allowedValues, si garantisce che solo quelle VM possano avere un IP esterno, applicando la policy in modo centralizzato su tutti i VPC. Le altre opzioni sono meno efficaci o non risolvono il problema in modo scalabile: Rimuovere la route predefinita e spostare le istanze è un approccio manuale e complesso da gestire su larga scala, oltre a non impedire l'assegnazione di IP esterni in futuro. Creare un nuovo VPC e una subnet con una route predefinita non impedisce l'assegnazione di IP esterni ad altre istanze non approvate in altri VPC o subnet esistenti. Cloud NAT fornisce connettività in uscita per le VM senza IP esterni, ma non controlla l'assegnazione di IP esterni in entrata, che è l'obiettivo della domanda.