外部 IP を持たないプライベート GKE ノードは、Artifact Registry または Container Registry からコンテナイメージをプルできません。正しい、セキュアな修正方法は何ですか？

外部IPを持たないプライベートGKEノードがArtifact RegistryまたはContainer Registryからイメージをプルするには、インターネットへのアウトバウンド接続が必要です。Cloud NATゲートウェイは、プライベートIPアドレスを持つインスタンスがインターネットにアクセスできるようにするセキュアな方法です。これにより、ノードに外部IPを割り当てることなく、イメージのプルが可能になります。 追加の構成なしでアウトバウンドポート443を許可するファイアウォールルールは、NATがない限りインターネットへのルーティングを提供しません。Artifact Registryの前にリージョン内部ロードバランサーをデプロイしても、ノードのインターネットアクセス問題は解決しません。ノードに外部IPをアタッチすることは可能ですが、これはセキュアな解決策とは言えず、プライベートノードの目的を損ないます。