Cloud Storage から読み取り、BigQuery に書き込むバッチ Dataflow パイプラインを実行しています。組織のポリシーでは、Compute Engine VM は内部 IP のみを使用する必要があります。外部 IP なしで Cloud Storage と BigQuery にアクセスするように Dataflow ワーカーをデプロイするにはどうすればよいですか？

組織のポリシーでCompute Engine VMが内部IPのみを使用する場合、DataflowワーカーがCloud StorageやBigQueryなどのGoogleサービスにアクセスするにはPrivate Google Accessを有効にする必要があります。Private Google Accessは、外部IPアドレスを持たないVMインスタンスが、Googleの外部IPアドレスを持つサービスに内部IPアドレスのみで到達できるようにする機能です。他の選択肢は不十分です。ネットワークタグやファイアウォールルールは、ネットワーク内のトラフィックを制御しますが、外部IPなしでGoogleサービスにアクセスする機能は提供しません。VPC Service Controlsはデータ漏洩防止のためのセキュリティ機能であり、内部IPからのGoogleサービスアクセスを可能にするものではありません。