Un'applicazione web fornirà HTTP/HTTPS da istanze Compute Engine e hai bisogno di un accesso SSH occasionale da un laptop remoto per la manutenzione, seguendo le best practice di Google. Come dovresti configurare la rete e l'accesso?

La risposta corretta è configurare Cloud Identity-Aware Proxy (IAP) per l'accesso SSH e posizionare le istanze Compute Engine con IP privati dietro un bilanciatore del carico HTTP(S). Questa è la best practice di Google per un accesso sicuro e gestito. IAP consente l'accesso SSH senza esporre le istanze direttamente a Internet, migliorando la sicurezza. Il bilanciatore del carico HTTP(S) gestisce il traffico web in modo efficiente e scalabile, mentre gli indirizzi IP privati delle istanze riducono la superficie di attacco. Le altre opzioni sono meno sicure o meno efficienti: Un bilanciatore del carico proxy TCP non è l'ideale per il traffico web HTTP/HTTPS. Consentire tutto il traffico in ingresso e assegnare IP esterni a ogni server è una grave violazione della sicurezza. L'uso di un bastion host è un'opzione valida per l'accesso SSH, ma IAP è la soluzione preferita da Google per la sua integrazione e le sue funzionalità di sicurezza avanzate.