ハブアンドスポークのVPCピアリング設計において、あるスポーク内のプライベートGKEコントロールプレーンの承認済みネットワークがノードサブネットに設定されていますが、他のスポークからコントロールプレーンに到達できません。他のスポークからのアクセスを許可するにはどうすればよいですか？

承認済みネットワークは、GKEコントロールプレーンへのアクセスを許可するCIDR範囲を制限します。VPCピアリングは推移的ではないため、他のスポークから直接コントロールプレーンにアクセスすることはできません。プロキシをデプロイし、そのプロキシのIPアドレスを承認済みネットワークに追加することで、他のスポークからのアクセスを仲介できます。ファイアウォールルールは承認済みネットワークの制限をバイパスしません。Private Google Accessは、プライベートIPアドレスを持つVMがGoogle APIにアクセスできるようにするもので、GKEコントロールプレーンへのアクセスとは直接関係ありません。承認済みネットワークを他のスポークのサブネット範囲に設定しても、VPCピアリングの非推移性のため、ルーティングの問題は解決しません。