Private Service Connect（PSC）を使用して、GKE クラスタから Cloud Storage へプライベート経路でアクセスするための適切な構成はどれか。

🎯正解の決め手・公式要点まとめ

Private Service Connect（PSC）を使用して Google API（Cloud Storage など）へプライベートアクセスする場合、VPC ネットワーク内に Google API 向けの PSC エンドポイント（内部 IP アドレス）を作成します。さらに、クライアント（GKE ノードや Pod）が storage.googleapis.com にアクセスした際にその内部 IP アドレスへルーティングされるよう、Cloud DNS でプライベート DNS ゾーンおよびレコードを設定する必要があります。 サブネット単位で有効化するのは「限定公開の Google アクセス（Private Google Access）」であり、PSC の設定ではありません。また、PSC は Cloud Storage バケットに直接アタッチする機能ではなく、VPC 内のエンドポイントとしてデプロイします。ノードに外部 IP アドレスを付与してファイアウォールで制限する構成は、パブリック経由のアクセスでありプライベート接続の要件を満たしません。