us-west1とus-east1のVMにはパブリックIPを持たせないが、インターネットから更新プログラムを取得する必要がある。デフォルトルーティングで、パブリックIPを割り当てずにアウトバウンドインターネットアクセスを許可するにはどうすればよいか？

us-west1とus-east1のVMにパブリックIPを持たせずにインターネットアクセスを許可するには、各リージョンにCloud NATゲートウェイとCloud Routerを構成する必要があります。Cloud NATは、プライベートIPアドレスを持つVMがインターネットに接続できるようにするサービスです。Cloud Routerは、NATゲートウェイがインターネットへのルートを学習するために必要です。単一のグローバルCloud NATゲートウェイは存在せず、NATはリージョンサービスです。インスタンスの外部IPを「エフェメラル」に変更するとパブリックIPが割り当てられてしまうため、要件に反します。ファイアウォールルールはトラフィックの許可・拒否を制御しますが、プライベートIPを持つVMにインターネットアクセスを提供する機能はありません。