외부 IP가 없는 프라이빗 GKE 노드는 Artifact Registry 또는 Container Registry에서 컨테이너 이미지를 가져올 수 없습니다. 올바르고 안전한 해결 방법은 무엇입니까?

외부 IP가 없는 프라이빗 GKE 노드는 기본적으로 인터넷에 직접 연결할 수 없습니다. Artifact Registry 또는 Container Registry는 인터넷을 통해 접근 가능한 서비스이므로, 노드가 이들로부터 이미지를 가져오려면 인터넷 송신 연결이 필요합니다. Cloud NAT 게이트웨이는 프라이빗 서브넷의 인스턴스가 외부 IP 없이도 인터넷에 안전하게 연결할 수 있도록 아웃바운드 연결을 제공하는 관리형 서비스입니다. 따라서 Cloud NAT를 구성하는 것이 올바르고 안전한 해결책입니다. 추가 구성 없이 아웃바운드 포트 443을 허용하는 방화벽 규칙은 노드에 인터넷 연결 기능 자체를 부여하지 않으므로 불충분합니다. Artifact Registry 앞에 내부 로드 밸런서를 배포하는 것은 Artifact Registry 서비스 자체를 내부적으로 호스팅하는 것이 아니므로 관련이 없습니다. 노드에 외부 IP를 연결하는 것은 프라이빗 GKE의 목적에 위배되며 보안상 좋지 않은 방법입니다.