Compute Engine 實例不能有 Public IP，而且沒有 VPN。您必須從辦公室 SSH 到特定的 VM，但又不能違反不能有 Public IP 的要求。您應該使用哪種方法？

正確答案是透過 IAP 進行 SSH。IAP (Identity-Aware Proxy) TCP 轉送允許您安全地連接到沒有公共 IP 地址的內部 VM，而無需 VPN。它透過 Google 的全球網路提供一個安全的通道，並利用 IAM 進行身份驗證和授權。您需要為 VM 啟用 IAP TCP 轉送，並確保您的用戶擁有 IAP-Secured Tunnel User IAM 角色。然後，您可以使用 gcloud compute ssh --tunnel-through-iap 命令進行連接。 其他選項不符合要求： Cloud NAT 僅用於出站連接，不能用於入站 SSH。 TCP Proxy Load Balancer 需要實例具有公共 IP 或透過內部負載平衡器連接，這與題目要求不符。 Bastion host 雖然可行，但題目要求不能有公共 IP，且 IAP 提供了更安全、更整合的解決方案，無需額外管理一個 Bastion 主機。