Singola VPC con Cloud Interconnect; è necessario consentire agli host on-prem di accedere solo alle API/servizi Google supportati da VPC Service Controls tramite connettività ibrida con uno SLA. Cosa è opportuno fare?

Per consentire agli host on-prem di accedere solo alle API/servizi Google supportati da VPC Service Controls tramite connettività ibrida con uno SLA, la soluzione corretta è abilitare l'accesso privato Google per gli host on-prem e utilizzare gli IP virtuali restricted.googleapis.com. Questo indirizza il traffico verso un endpoint privato di Google, garantendo che rimanga all'interno della rete Google e rispetti i perimetri di sicurezza di VPC Service Controls. Configurare i Cloud Router per annunciare gli indirizzi IP virtuali pubblici delle API Google esporrebbe il traffico a internet pubblico, violando i requisiti di sicurezza. Annunciare una route predefinita tramite Cloud Router e utilizzare Cloud NAT non garantisce l'accesso esclusivo ai servizi supportati da VPC Service Controls e non forza il traffico attraverso un endpoint privato. Aggiungere collegamenti Direct Peering non è sufficiente per garantire l'accesso solo ai servizi supportati da VPC Service Controls e non fornisce la stessa granularità di controllo e sicurezza.