Si esegue una pipeline Dataflow batch che legge da Cloud Storage e scrive su BigQuery. La policy organizzativa richiede che le VM di Compute Engine utilizzino solo IP interni. Come si distribuiscono i worker Dataflow per accedere a Cloud Storage e BigQuery senza IP esterni?

L'opzione corretta è abilitare Private Google Access sulla sottorete ed eseguire i worker Dataflow solo con IP interni. Private Google Access consente alle istanze VM senza IP esterni di raggiungere gli API e i servizi di Google (come Cloud Storage e BigQuery) utilizzando gli IP interni di Google. Questo soddisfa il requisito della policy organizzativa di utilizzare solo IP interni. Le altre opzioni sono errate perché: Assegnare tag di rete o configurare regole firewall non è sufficiente per consentire l'accesso ai servizi Google da VM senza IP esterni; queste VM non avrebbero un percorso verso l'esterno senza Private Google Access. Creare un perimetro VPC Service Controls è una misura di sicurezza per prevenire l'esfiltrazione di dati, ma non risolve il problema della connettività per le VM senza IP esterni che devono accedere ai servizi Google.