Wiele maszyn wirtualnych w różnych VPC wymaga dostępu do Internetu, ale nie może mieć publicznych adresów IP. Tylko określone podsieci powinny mieć możliwość korzystania z Cloud NAT, a Ty chcesz zapobiec przypadkowej błędnej konfiguracji i postępować zgodnie z zalecanymi przez Google praktykami. Co należy zrobić?

Prawidłowa odpowiedź wykorzystuje zasadę organizacyjną constraints/compute.restrictCloudNATUsage, która jest zalecanym przez Google sposobem na egzekwowanie, które podsieci mogą korzystać z Cloud NAT. Dołączenie tej zasady do folderu i ustawienie allowedValues na dozwolone podsieci zapewnia, że tylko te podsieci mogą być używane z Cloud NAT, zapobiegając przypadkowej błędnej konfiguracji. Następnie wdrażasz Cloud NAT i wybierasz tylko te dozwolone podsieci. Pozostałe opcje, które polegają na regułach zapory sieciowej, nie są przeznaczone do kontrolowania konfiguracji Cloud NAT, a jedynie ruchu sieciowego. Konfigurowanie niestandardowych zakresów źródłowych bez zasad organizacyjnych jest podatne na błędy i nie jest zgodne z najlepszymi praktykami zarządzania polityką na poziomie organizacji.