여러 VPC의 VM에 아웃바운드 인터넷 액세스가 필요하지만 공개 IP를 가질 수 없습니다. 특정 서브넷만 Cloud NAT를 사용하도록 허용해야 하며, 우발적인 잘못된 구성을 방지하고 Google에서 권장하는 방식을 따르려고 합니다. 어떻게 해야 할까요?

정답은 constraints/compute.restrictCloudNATUsage 조직 정책을 생성하고, 프로젝트가 포함된 폴더에 연결하고, allowedValues를 허용된 서브넷으로 설정한 다음, Cloud NAT를 배포하고 허용된 서브넷만 선택하는 것입니다. 이 방법은 Google 권장사항을 따르며, 조직 정책을 통해 Cloud NAT 사용을 특정 서브넷으로 제한하여 우발적인 잘못된 구성을 방지합니다. 다른 옵션들은 다음과 같은 이유로 적절하지 않습니다. 방화벽 규칙을 사용하는 것은 NAT 구성 자체를 제한하지 않으므로, 잘못된 NAT 구성이 여전히 가능합니다. 커스텀 소스 범위를 구성하는 것은 정책적 제어가 아닌 수동 구성이므로, 실수할 여지가 있습니다. 각 VPC에 Cloud NAT를 배포하고 규칙을 구성하는 것은 조직 정책을 통한 중앙 집중식 제어 및 강제 적용이 아니므로, 일관성 유지 및 실수 방지에 취약합니다.