Voorkom externe IP-adressen op backend Compute Engine-instances, terwijl deze alleen zijn toegestaan op frontend-instances.

De correcte optie is het afdwingen van een Organization Policy-beperking. Dit is de meest effectieve en schaalbare manier om te controleren waar externe IP-adressen kunnen worden toegewezen binnen uw Google Cloud-omgeving. Met een Organization Policy kunt u een beleid definiëren dat voorkomt dat externe IP-adressen worden toegewezen aan Compute Engine-instances, behalve voor specifieke projecten of instanties die u als uitzondering definieert (zoals uw frontend-instances). Dit zorgt voor een consistente beveiligingshouding over uw hele organisatie. Het intrekken van de compute.networkAdmin-rol voor alle gebruikers in het frontend-project is onjuist omdat dit de toewijzing van externe IP-adressen niet voorkomt; het beperkt alleen wie ze kan toewijzen. Het toewijzen van IT-personeel aan de compute.networkAdmin-rol op organisatieniveau is onjuist omdat dit de controle over externe IP-adressen juist versoepelt, wat in strijd is met het doel. Het maken van een aangepaste IAM-rol die compute.addresses.create toekent, is onjuist omdat dit alleen de mogelijkheid geeft om IP-adressen aan te maken, niet om te controleren waar ze worden toegewezen.