Diverse VM su più VPC necessitano di accesso a Internet in uscita ma non possono avere IP pubblici. Solo a subnet specifiche dovrebbe essere consentito l'uso di Cloud NAT e si desidera prevenire errori di configurazione accidentali e seguire le pratiche consigliate da Google. Cosa si dovrebbe fare?

L'opzione corretta è creare un criterio organizzativo constraints/compute.restrictCloudNATUsage. Questo vincolo di criterio organizzativo è progettato specificamente per controllare quali subnet possono utilizzare Cloud NAT, prevenendo errori di configurazione accidentali e garantendo la conformità alle best practice di Google. Allegandolo a una cartella, si applica a tutti i progetti al suo interno, centralizzando la gestione. Le altre opzioni che utilizzano regole firewall non impediscono a una VM di utilizzare Cloud NAT se configurata, ma controllano solo il traffico. Configurare manualmente i range di origine in Cloud NAT è possibile, ma non offre la stessa protezione contro errori di configurazione o la gestione centralizzata di un criterio organizzativo.