Private GKE-nodes zonder externe IP's kunnen geen containerimages pullen uit Artifact Registry of Container Registry. Wat is de correcte, veilige oplossing?

Private GKE-nodes zonder externe IP-adressen hebben een mechanisme nodig om uitgaande verbindingen met het internet te maken voor taken zoals het pullen van containerimages uit Artifact Registry of Container Registry. Cloud NAT (Network Address Translation) biedt deze functionaliteit door privé-IP-adressen te vertalen naar een of meer openbare IP-adressen, waardoor de nodes veilig toegang krijgen tot externe services zonder dat ze zelf een extern IP-adres hoeven te hebben. De andere opties zijn incorrect omdat: Een VPC-firewallregel alleen verkeer toestaat of blokkeert; het biedt geen NAT-functionaliteit voor privé-IP's. Een interne load balancer is bedoeld voor inkomend verkeer binnen het VPC en is niet relevant voor uitgaande verbindingen naar externe registries. Externe IP's koppelen aan de nodes is geen veilige oplossing, omdat dit de nodes direct blootstelt aan het internet en indruist tegen het principe van private nodes.