Cloud Interconnect を使用する単一の VPC があり、オンプレミスホストが、SLA を伴うハイブリッド接続を介して VPC Service Controls でサポートされている Google API/サービスにのみアクセスできるようにする必要があります。どうすればよいですか？

オンプレミスホストがVPC Service Controlsで保護されたGoogle API/サービスにアクセスするには、Private Google Accessを有効にし、restricted.googleapis.comのVIPを使用する必要があります。これにより、トラフィックはGoogleのプライベートネットワークを経由し、VPC Service Controlsの境界内でサービスにアクセスできます。 Cloud RouterにGoogle APIのパブリックIPアドレスをアドバタイズすると、VPC Service Controlsのセキュリティ境界を迂回する可能性があります。デフォルトルートをアドバタイズしCloud NATを使用する方法は、プライベートアクセスを提供しますが、VPC Service Controlsの保護は提供しません。Direct PeeringはGoogleのネットワークへの直接接続を提供しますが、VPC Service Controlsの境界内でのアクセスを保証するものではありません。