I nodi GKE privati senza IP esterni non possono eseguire il pull delle immagini container da Artifact Registry o Container Registry. Qual è la soluzione corretta e sicura?

I nodi GKE privati senza IP esterni non possono accedere a internet per scaricare immagini da Artifact Registry o Container Registry. Cloud NAT (Network Address Translation) è la soluzione corretta e sicura perché consente ai nodi privati di avviare connessioni in uscita verso internet (in questo caso, verso i registri di immagini) senza esporre i loro IP privati. Abilitare una regola firewall VPC per la porta 443 in uscita non è sufficiente, poiché i nodi non hanno un IP pubblico per instradare il traffico verso internet. Implementare un bilanciatore del carico interno davanti ad Artifact Registry non ha senso, poiché Artifact Registry è un servizio gestito e non richiede un bilanciatore di carico interno per l'accesso in uscita dai nodi. Collegare IP esterni ai nodi è una soluzione funzionale ma non sicura, in quanto esporrebbe direttamente i nodi a internet, violando il principio di un cluster privato.