多個跨 VPC 的 VM 需要對外網際網路存取，但不能擁有公用 IP。只有特定的子網路應允許使用 Cloud NAT，而且您希望防止意外的錯誤配置並遵循 Google 建議的做法。您應該怎麼做？

正確答案是建立一個 constraints/compute.restrictCloudNATUsage 組織政策，因為這直接解決了防止意外錯誤配置並遵循 Google 建議做法的需求。此組織政策允許您在組織或資料夾層級強制執行哪些子網路可以利用 Cloud NAT，確保只有指定的子網路能夠使用它。部署 Cloud NAT 時，您仍需選擇允許的子網路。 其他選項不夠完善。使用防火牆規則（選項一和三）可以控制流量，但不能防止 Cloud NAT 服務本身被錯誤配置以涵蓋不允許的子網路。此外，防火牆規則的優先級設置也可能導致意外行為。在每個 VPC 中部署 Cloud NAT 並配置自訂來源範圍（選項四）雖然可以實現部分目標，但沒有提供組織級別的強制執行機制來防止錯誤配置，也不如組織政策符合 Google 的最佳實踐建議。