Meerdere VM's in verschillende VPC's hebben uitgaande internettoegang nodig, maar mogen geen publieke IP-adressen hebben. Slechts specifieke subnetten mogen Cloud NAT gebruiken, en je wilt onbedoelde verkeerde configuratie voorkomen en de door Google aanbevolen praktijk volgen. Wat moet je doen?

De juiste aanpak is het gebruik van een organisatiebeleid. Het constraints/compute.restrictCloudNATUsage organisatiebeleid is specifiek ontworpen om te controleren welke subnetten Cloud NAT mogen gebruiken. Door dit beleid op mapniveau toe te passen met de toegestane subnetten in allowedValues, voorkom je onbedoelde configuraties en volg je de best practices van Google voor centrale controle en governance. Vervolgens configureer je Cloud NAT in elk VPC en selecteer je alleen de subnetten die door het beleid zijn toegestaan. De firewallregels zijn niet de juiste oplossing, omdat ze geen directe controle bieden over welke subnetten Cloud NAT gebruiken; ze regelen alleen het verkeer. Het configureren van aangepaste bronbereiken in Cloud NAT zonder een organisatiebeleid biedt geen preventieve controle op onbedoelde configuraties in andere projecten of door andere gebruikers.