3層のCompute Engineデプロイメントがあります。各層のインスタンスは専用のサービスアカウントを使用します。tier1 -> tier2 および tier2 -> tier3 のTCP 8080通信を有効にする必要があります。何をすべきですか？

このシナリオでは、各層のインスタンスが特定のサービスアカウントを使用しているため、ファイアウォールルールでサービスアカウントをターゲットと送信元フィルタとして使用するのが最も適切で安全な方法です。 最初のルールは、tier 1のインスタンス（送信元）からtier 2のインスタンス（ターゲット）へのTCP 8080トラフィックを許可します。2番目のルールは、tier 2のインスタンス（送信元）からtier 3のインスタンス（ターゲット）へのTCP 8080トラフィックを許可します。これにより、必要な通信のみが許可され、最小権限の原則が遵守されます。 他の選択肢は不適切です。IP範囲を使用すると、インスタンスのIPアドレスが変更された場合にルールを更新する必要がある可能性があり、また、サービスアカウントによるきめ細かい制御ができません。「すべて許可」はセキュリティリスクが高く、必要なポートのみを開くべきです。エグレスルールは、インスタンスから外部へのトラフィックを制御するため、このイングレス通信の要件には適合しません。