筆記型電腦上的開發人員需要 kubectl 存取沒有公開主要端點的私有 GKE 叢集控制平面。哪種方法可以在不公開控制平面的情況下提供安全存取？

在叢集 VPC 中建立一個 bastion VM，並透過 SSH 或 gcloud proxy 連線，是存取沒有公開主要端點的私有 GKE 叢集控制平面的安全方法。Bastion VM 充當跳板機，位於叢集的 VPC 內部，可以安全地存取控制平面，而無需將其暴露給網際網路。 設定 Cloud NAT 僅允許叢集內部資源對外連線，無法讓外部用戶端連線到私有控制平面。新增 VPC 防火牆規則以允許筆記型電腦 IP 直接連線到私有主要 IP 是不可行的，因為私有 GKE 叢集的控制平面沒有公開 IP 位址。為其中一個節點指派公用 IP 並將其用於控制平面代理是不安全的做法，且會繞過 GKE 的設計原則，因為控制平面與工作節點是分離的。