Khi chạy các Dataflow worker VMs, khuyến nghị bảo mật hàng đầu là không gán địa chỉ IP công cộng (external IP) cho các VM này để tránh các nguy cơ tấn công từ internet.

• Lựa chọn A đúng: Để các VM chỉ có IP nội bộ vẫn kết nối được tới các API của Google (như Cloud Storage và BigQuery), ta cần bật tính năng Private Google Access (Truy cập Google Riêng tư) trên subnet tương ứng. Cách này vừa đảm bảo tính bảo mật vừa tiết kiệm chi phí (không mất phí IP public hoặc phí NAT gateway).
• Lựa chọn B và D sai: Sử dụng IP public hoặc Cloud NAT sẽ phát sinh thêm chi phí và tăng bề mặt tấn công hoặc cấu hình phức tạp không cần thiết cho mục đích chỉ kết nối với dịch vụ của Google.
• Lựa chọn C sai: Private Service Connect (PSC) là giải pháp phức tạp hơn mức cần thiết cho trường hợp này, trong khi Private Google Access là tính năng có sẵn và cấu hình đơn giản nhất cho các API Google tiêu chuẩn.

(Đáp án được gợi ý bởi AI)