Impedire gli IP esterni sulle istanze backend di Compute Engine, consentendoli solo sulle istanze frontend.

L'applicazione di un vincolo di Criterio dell'organizzazione è la soluzione più efficace e scalabile per imporre restrizioni a livello di progetto o organizzazione. Il vincolo compute.vmExternalIpAccess può essere utilizzato per specificare quali istanze possono avere IP esterni, consentendo di limitare l'accesso solo alle istanze frontend. Revocare il ruolo compute.networkAdmin a tutti gli utenti nel progetto frontend non è sufficiente, poiché altri utenti o ruoli potrebbero comunque creare istanze con IP esterni, e questo limiterebbe eccessivamente le capacità amministrative. Mappare il personale IT al ruolo compute.networkAdmin a livello di organizzazione non affronta il problema della restrizione degli IP esterni sulle istanze backend; al contrario, potrebbe aumentare il rischio. Creare un ruolo IAM personalizzato che conceda compute.addresses.create non impedisce la creazione di IP esterni su istanze specifiche; controlla solo chi può creare indirizzi IP, non dove possono essere assegnati.