您執行一個批次 Dataflow 管線，該管線從 Cloud Storage 讀取資料並寫入 BigQuery。組織政策要求 Compute Engine VM 只能使用內部 IP。您要如何在沒有外部 IP 的情況下部署 Dataflow 工作者來存取 Cloud Storage 和 BigQuery？

當組織政策要求 Compute Engine VM 僅使用內部 IP 時，若要讓 Dataflow 工作者存取 Cloud Storage 和 BigQuery 等 Google 服務，最直接且安全的方法是在 Dataflow 工作者所屬的子網路中啟用 Private Google Access。啟用 Private Google Access 後，VM 即使沒有外部 IP，也可以透過 Google 的內部網路存取受支援的 Google API 和服務。 其他選項的解釋： 為 Dataflow 工作者提供網路標籤並不能直接解決內部 IP 存取 Google 服務的問題，網路標籤主要用於防火牆規則和路由。 確保防火牆規則允許存取 Cloud Storage 和 BigQuery 是必要的，但這並不能讓僅有內部 IP 的 VM 存取這些服務，除非搭配 Private Google Access。 建立 VPC Service Controls 邊界主要用於資料外洩防護，雖然有助於安全性，但它本身並不能讓內部 IP 的 VM 存取 Google 服務，仍需 Private Google Access 才能實現連線。