Единый VPC с Cloud Interconnect; необходимо разрешить локальным хостам доступ только к Google API/сервисам, поддерживаемым VPC Service Controls, через гибридное подключение с SLA. Что следует предпринять?

Правильный ответ - включить Private Google Access для локальных хостов и использовать виртуальные IP-адреса restricted.googleapis.com. Private Google Access позволяет локальным хостам, подключенным через Cloud Interconnect, получать доступ к поддерживаемым Google API и сервисам, не проходя через публичный интернет. Использование домена restricted.googleapis.com обеспечивает доступ только к сервисам, поддерживаемым VPC Service Controls, что повышает безопасность. Неправильные варианты: Настройка Cloud Routers для анонсирования публичных виртуальных IP-адресов Google API не обеспечивает Private Google Access и не гарантирует доступ только к сервисам, поддерживаемым VPC Service Controls. Анонсирование маршрута по умолчанию через Cloud Router и использование Cloud NAT для трансляции локального трафика позволит локальным хостам получить доступ к интернету, но не предоставит Private Google Access к Google API и не обеспечит контроль VPC Service Controls. Добавление соединений Direct Peering и использование их для доступа к публичным виртуальным IP-адресам Google API не является рекомендуемым методом для доступа к Google API из локальной среды и не обеспечивает Private Google Access или интеграцию с VPC Service Controls.