下り（外向き）の 0.0.0.0/0 をサードパーティの NGFW にルーティングしています。外部 IP を持たないインスタンスが、ファイアウォールを経由せずに BigQuery と Pub/Sub にアクセスできるようにするには、どの 2 つのアクションを実行しますか？

外部IPを持たないインスタンスがBigQueryやPub/SubなどのGoogle APIにアクセスするには、Private Google Accessが必要です。Private Google Accessはサブネットレベルで有効にするため、選択肢「サブネットで Private Google Access を有効にする」が正しいです。VPCレベルでは有効にできません。また、NGFWを経由させずにアクセスさせるには、Google APIの外部IP範囲（例: 199.36.153.8/30, 199.36.153.9/32）を直接インターネットゲートウェイにルーティングするカスタム静的ルートが必要です。これにより、NGFWを迂回してGoogle APIにアクセスできます。Private Services AccessはVPCネットワークとGoogleマネージドサービス間のプライベート接続に使用され、このケースには該当しません。Google APIの内部IPは存在しないため、そのルートを作成しても機能しません。