Как ограничить доступ к приложению Google Cloud с балансировкой нагрузки, чтобы к нему могли подключаться только определенные диапазоны IP-адресов клиентов (и диапазоны проверки работоспособности Google)?

Правильный ответ — использование тегов сети и правил брандмауэра. Вы можете пометить экземпляры бэкенда балансировщика нагрузки уникальным тегом (например, "application"). Затем создайте правило брандмауэра VPC, которое разрешает входящий трафик только из указанных диапазонов IP-адресов клиентов и диапазонов IP-адресов проверок работоспособности Google (которые являются публично известными и необходимы для функционирования балансировщика нагрузки). Это правило должно быть применено к экземплярам с этим тегом. Access Context Manager и VPC Service Controls (первый и второй варианты) в основном используются для контроля доступа к ресурсам Google Cloud на основе контекста (например, IP-адреса, устройства, региона) и для создания периметров безопасности, предотвращающих эксфильтрацию данных. Они не предназначены для прямого ограничения входящего трафика к балансировщику нагрузки на уровне сети. Использование меток (четвертый вариант) отличается от тегов. Метки — это пары ключ-значение для организации ресурсов, но правила брандмауэра применяются к тегам сети, а не к меткам.