Веб-приложение будет обслуживать HTTP/HTTPS с инстансов Compute Engine, и вам нужен периодический SSH-доступ с удаленного ноутбука для обслуживания, следуя рекомендациям Google. Как следует настроить сеть и доступ?

Правильный ответ обеспечивает безопасный доступ и соответствует рекомендациям Google. Использование Cloud Identity-Aware Proxy (IAP) для SSH-доступа позволяет подключаться к инстансам Compute Engine без публичных IP-адресов, значительно повышая безопасность, поскольку трафик проходит через инфраструктуру Google, а не напрямую через интернет. Инстансы Compute Engine с частными IP-адресами за балансировщиком нагрузки HTTP(S) являются стандартной и безопасной практикой для обслуживания веб-трафика, изолируя серверы от прямого доступа из интернета. Неправильные варианты: Настройка бэкенда с TCP proxy балансировщиком нагрузки не является оптимальной для HTTP/HTTPS трафика, для которого лучше подходит HTTP(S) балансировщик. Разрешение всего входящего трафика и использование внешних IP-адресов для каждого сервера создает значительные риски безопасности и противоречит принципам наименьших привилегий. Использование bastion host является приемлемым, но IAP для SSH предлагает более интегрированное и управляемое решение в Google Cloud, часто считающееся более безопасным и удобным.