複数のVPCにまたがるVMには、アウトバウンドのインターネットアクセスが必要ですが、パブリックIPを持つことはできません。特定のサブネットのみがCloud NATを使用できるようにし、偶発的な誤設定を防ぎ、Googleが推奨するプラクティスに従う必要があります。どうすればよいですか？

このシナリオでは、特定のサブネットのみがCloud NATを使用できるようにし、偶発的な誤設定を防ぐことが求められています。constraints/compute.restrictCloudNATUsage 組織のポリシーを使用すると、Cloud NATの構成を特定のサブネットに制限できます。このポリシーをプロジェクトを含むフォルダに適用し、許可されたサブネットを allowedValues として設定することで、Cloud NATが意図しないサブネットに適用されるのを防ぎ、Googleが推奨するベストプラクティスに従うことができます。 他の選択肢は、ファイアウォールルールやカスタム送信元範囲の設定に言及していますが、これらは偶発的な誤設定を防ぐための強制力のあるメカニズムを提供しません。特に、ファイアウォールルールはNATの適用範囲を直接制御するものではなく、Cloud NATルールも組織レベルでの強制力はありません。