Zapobiegnij używaniu zewnętrznych adresów IP w instancjach backendowych Compute Engine, zezwalając na nie tylko w instancjach frontendowych.

Wymuszenie ograniczenia zasad organizacji jest najskuteczniejszym sposobem na zapobieganie używaniu zewnętrznych adresów IP w instancjach backendowych, jednocześnie zezwalając na nie w instancjach frontendowych. Zasady organizacji umożliwiają centralne zarządzanie i egzekwowanie reguł w całej organizacji Google Cloud, zapewniając spójność i bezpieczeństwo. Ograniczenie constraints/compute.vmExternalIpAccess pozwala precyzyjnie kontrolować, które instancje mogą mieć zewnętrzne adresy IP, a które nie, co jest zgodne z wymaganiami pytania. Odebranie roli compute.networkAdmin (opcja B) nie zapobiegnie tworzeniu instancji z zewnętrznymi adresami IP przez innych użytkowników z odpowiednimi uprawnieniami. Przypisanie roli compute.networkAdmin na poziomie organizacji (opcja C) jest zbyt szerokie i nie rozwiązuje problemu selektywnego zezwalania na adresy IP. Utworzenie niestandardowej roli IAM z uprawnieniem compute.addresses.create (opcja D) również nie jest wystarczające, ponieważ to uprawnienie pozwala na tworzenie adresów IP, ale nie kontroluje ich przypisywania do instancji w sposób selektywny dla frontendów i backendów.