Вы запускаете пакетный конвейер Dataflow, который считывает данные из Cloud Storage и записывает их в BigQuery. Политика организации требует, чтобы виртуальные машины Compute Engine использовали только внутренние IP-адреса. Как развернуть воркеры Dataflow для доступа к Cloud Storage и BigQuery без внешних IP-адресов?

Правильный ответ — «Включите Private Google Access в подсети и запустите воркеры Dataflow только с внутренними IP-адресами». Private Google Access позволяет виртуальным машинам без внешних IP-адресов достигать API и сервисов Google (таких как Cloud Storage и BigQuery) через внутренние IP-адреса Google. Это соответствует требованию политики организации об использовании только внутренних IP-адресов. Неправильные варианты: «Присвойте воркерам Dataflow сетевые теги, разрешающие доступ к Cloud Storage и BigQuery; запустите Dataflow только с внутренними IP-адресами» – Сетевые теги используются для применения правил брандмауэра, но сами по себе не обеспечивают доступ к сервисам Google без внешних IP-адресов. «Убедитесь, что правила брандмауэра разрешают доступ к Cloud Storage и BigQuery; запустите Dataflow только с внутренними IP-адресами» – Правила брандмауэра контролируют трафик между ВМ, но не позволяют ВМ без внешних IP-адресов напрямую обращаться к внешним сервисам Google. «Создайте периметр VPC Service Controls, включающий VPC, и добавьте Dataflow, Cloud Storage и BigQuery в качестве разрешенных сервисов; запустите Dataflow только с внутренними IP-адресами» – VPC Service Controls повышает безопасность, предотвращая эксфильтрацию данных, но не решает проблему доступа к сервисам Google для ВМ без внешних IP-адресов. Private Google Access по-прежнему необходим.