Reserva una dirección IP externa estática

Si una instancia de máquina virtual (VM) requiere una dirección IP externa fija que no cambie, puedes obtener una dirección IP externa estática para esa instancia con una de las siguientes opciones:

A través de la reserva de una dirección IP externa estática nueva y, luego, con la asignación de la dirección a una instancia de VM nueva.
Mediante la promoción de una dirección IP externa efímera existente para que se convierta en una dirección IP externa estática.

Si necesitas una dirección IP estática en tu red interna de Compute Engine, consulta Reserva una dirección interna estática, en su lugar.

En Compute Engine, cada instancia de VM puede tener varias interfaces de red. Cada interfaz puede tener direcciones IP internas y externas. Las reglas de reenvío pueden tener direcciones IP externas destinadas al balanceo de cargas externo o direcciones internas para el balanceo de cargas interno. Para conocer las direcciones IP, consulta la documentación de Direcciones IP.

Antes de comenzar

Si deseas usar los ejemplos de línea de comandos en esta guía, haz lo siguiente:
1. Instala la herramienta de línea de comandos de gcloud o actualízala a la última versión.
2. Configura una región y una zona predeterminadas.
Si deseas usar los ejemplos de API de esta guía, configura el acceso a la API.
Consulta Direcciones IP.

Reserva una dirección IP externa estática nueva

Una dirección IP externa estática es una dirección IP externa que se reserva para tu proyecto hasta que decides liberarla. Si tienes una dirección IP en la que tus clientes o usuarios confíen a fin de acceder a tu servicio, puedes reservarla para que solo tu proyecto pueda usarla. También puedes subir la categoría de una dirección IP externa efímera a una dirección IP externa estática.

Puedes reservar dos tipos de direcciones IP externas:

Las instancias de VM o los balanceadores de cargas de red pueden usar una dirección IP regional con una o más interfaces de red.
Una dirección IP global que se puede usar para balanceadores de cargas global: HTTP(S), proxy SSL y proxy TCP.

Reserva una dirección IP externa estática en la herramienta de línea de comandos de gcloud o mediante la API. Después de reservar la dirección, asígnala a una instancia durante la creación de una instancia o a una instancia existente.

Restricciones

Una dirección IP externa estática puede usar solo un recurso a la vez.
Es imposible saber si una dirección IP es estática o efímera después de que se asignó a un recurso, excepto si se compara la dirección IP con la lista de direcciones IP externas estáticas reservadas para ese proyecto. Usa el subcomando addresses list a fin de ver una lista de direcciones IP externas estáticas disponibles para el proyecto.
Cada instancia de VM puede tener varias interfaces de red, pero cada interfaz puede tener solo una dirección IP externa que sea efímera o estática.

Nota: Las interfaces de red pueden recibir tráfico de varias reglas de reenvío, que pueden entregar a otras direcciones IP externas. Cualquier número de direcciones IP externas puede hacer referencia a una interfaz de red a través de estas reglas de reenvío, sin embargo, cada interfaz de red puede tener solo una dirección IP externa que convierta los paquetes en la dirección IP interna de la interfaz.

Para obtener más información sobre el balanceo de cargas y las reglas de reenvío, consulta la documentación de balanceo de cargas.

Console

En Cloud Console, ve a la página Reserva una dirección estática.

Ir a la página Reservar una dirección estática
Elige un nombre para la dirección nueva.
Especifica si se trata de una dirección IPv4 o IPv6. Las direcciones IPv6 solo pueden ser globales y solo se pueden usar con balanceadores de cargas globales de HTTP(S), proxy SSL y proxy TCP.
Elige si esta dirección IP será regional o global. Si reservas una dirección IP estática para una instancia o un balanceador de cargas de red, elige Regional. Si reservas una dirección IP estática para un balanceador de cargas HTTP(S), proxy SSL o de proxy TCP, elige Global.
Si se trata de una dirección IP regional, selecciona la región a fin de crear la dirección.
Como alternativa, puedes seleccionar un recurso para conectar la IP.
Haz clic en Reservar si deseas reservar la IP.

gcloud

Para reservar una dirección IP externa estática mediante gcloud compute, usa el comando compute addresses create.

Si deseas reservar una dirección IP global, usa los campos --global y --ip-version. En el campo --ip-version, especifica IPV4 o IPV6. Las direcciones IPv6 solo pueden ser globales y solo se pueden usar con balanceadores de cargas de HTTP(S), proxy SSL y proxy TCP globales.

Reemplaza ADDRESS_NAME por el nombre que deseas darle a esta dirección.

gcloud compute addresses create ADDRESS_NAME \
    --global \
    --ip-version [IPV4 | IPV6]

Si deseas reservar una dirección IP regional, usa el campo --region:

gcloud compute addresses create ADDRESS_NAME \
    --region REGION

Reemplaza los siguientes elementos:

ADDRESS_NAME: El nombre que quieres asignar a esta dirección.
REGION: La dirección IP deseada para la solicitud. Debe ser la misma región que la del recurso al que deseas conectar la dirección IP. Todas las direcciones IP regionales son IPV4.

Usa el comando compute addresses describe para ver el resultado:

gcloud compute addresses describe ADDRESS_NAME

API

Para crear una dirección IPv4 regional, invoca el método addresses.insert regional:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/addresses

El cuerpo de la solicitud debe contener la siguiente información:

{
  name: "ADDRESS_NAME"
}

Reemplaza los siguientes elementos:

ADDRESS_NAME: El nombre que quieres asignar a la dirección.
REGION: El nombre de la región para esta solicitud.
PROJECT_ID: El ID del proyecto para esta solicitud.

Para direcciones IPv4 estáticas globales, llama al método globalAddresses.insert:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/addresses

El cuerpo de la solicitud debe contener la siguiente información:

{
  name: "ADDRESS_NAME"
}

Para direcciones IPv6 estáticas globales, llama al método globalAddresses.insert:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/addresses

El cuerpo de la solicitud debe contener la siguiente información:

{
  "name": "ADDRESS_NAME",
  "ipVersion": "IPV6"
}

Usa el método addresses.get para ver el resultado.

Asigna una dirección IP externa estática a una instancia de VM nueva

Cuando creas una instancia de VM, se le asigna una dirección IP externa efímera de forma automática. Si no quieres una dirección IP externa efímera, puedes asignar una dirección IP externa estática a la instancia de forma explícita.

Console

En Cloud Console, ve a la página Instancias de VM.
Ir a Instancias de VM
Haz clic en Crear instancia.
En la página Crear una instancia nueva, completa las propiedades que quieras para tu instancia.

Expande la sección Administración, seguridad, discos, herramientas de redes, instancia única.
Haz clic en Herramientas de redes.
En Interfaces de redes, haz clic en la interfaz de red predeterminada para editarla.
En la sección IP externa, selecciona la dirección IP externa estática que reservaste en el menú desplegable.
Haz clic en Listo para terminar la modificación de la interfaz de red predeterminada.
Haz clic en Crear para crear la instancia.

gcloud

Para asignar una dirección IP externa estática, usa la marca --address durante la creación de la instancia y proporciona la dirección IP externa estática:

gcloud compute instances create INSTANCE_NAME --address IP_ADDRESS

Reemplaza los siguientes elementos:

INSTANCE_NAME: El nombre de la instancia.
IP_ADDRESS: La dirección IP que se asignará a la instancia. Usa la dirección IP, no el nombre de la dirección.

API

En tu solicitud para crear una instancia nueva, debes proporcionar la propiedad networkInterfaces[].accessConfigs[].natIP y la IP externa que deseas usar de forma explícita. Por ejemplo:

{
  "name": "INSTANCE_NAME",
  "machineType": "zones/ZONE/machineTypes/MACHINE_TYPE",
  "networkInterfaces": [{
    "accessConfigs": [{
      "type": "ONE_TO_ONE_NAT",
      "name": "External NAT",
      "natIP": "IP_ADDRESS"
     }],
    "network": "global/networks/default"
  }],
  "disks": [{
     "autoDelete": "true",
     "boot": "true",
     "type": "PERSISTENT",
     "initializeParams": {
        "sourceImage": "projects/debian-cloud/global/images/v20150818"
     }
   }]
 }

Cambia o asigna una dirección IP externa a una instancia existente

Puedes cambiar o asignar una dirección IP externa, efímera o estática, a una instancia existente si modificas la configuración de acceso de la instancia.

Una instancia puede tener varias interfaces y cada una de estas puede tener una dirección IP externa. Si la instancia ya tiene una dirección IP externa, primero debes quitar esa dirección mediante la operación de borrado de la configuración de acceso anterior. Así podrás agregar una configuración de acceso nueva con la dirección IP externa nueva.

Console

En Cloud Console, ve a la página Instancias de VM.
Ir a la página Instancias de VM
Haz clic en el nombre de la instancia a la que quieres asignar una IP externa. Se mostrará la página de detalles de la instancia.
En la página de detalles de la instancia, completa los pasos siguientes:
1. Haz clic en Editar.
2. En Interfaces de redes (Network interfaces), haz clic en el botón Editar.
3. En IP externa (External IP), selecciona una dirección IP externa efímera o estática para asignar a la instancia.
4. Haz clic en Listo.
5. Haz clic en Guardar.

En gcloud

Como alternativa, puedes reservar una dirección IP externa estática.

Si quieres asignar una dirección IP externa estática, debes reservar una dirección y asegurarte de que no la use otro recurso. Si es necesario, sigue las instrucciones si necesitas reservar una nueva dirección IP externa estática o si deseas anular la asignación de una dirección IP externa estática.

Si planeas usar una dirección IP externa efímera, puedes omitir este paso y Compute Engine asignará de manera aleatoria una dirección IP externa efímera.
Borra la configuración de acceso existente.

Puedes establecer una configuración de acceso para cada instancia. Antes de que intentes asignar una configuración de acceso nueva a una instancia, verifica si tu instancia tiene una configuración de acceso mediante una solicitud gcloud compute instances describe:
```
gcloud compute instances describe INSTANCE_NAME
```
Si hay una configuración de acceso existente, esta aparecerá con el siguiente formato:
```
networkInterfaces:
- accessConfigs:
  - kind: compute#accessConfig
    name: external-nat
    natIP: 130.211.181.55
    type: ONE_TO_ONE_NAT
```
Nota: El name de tu configuración de acceso puede ser diferente de external-nat; asegúrate de verificar tu propio nombre de configuración de acceso. En algunos casos, se puede usar External NAT, una versión anterior del nombre de la configuración de acceso.

Antes de agregar una nueva configuración de acceso, debes borrar la existente con el subcomando instances delete-access-config:
```
gcloud compute instances delete-access-config INSTANCE_NAME \
    --access-config-name "ACCESS_CONFIG_NAME"
```
Reemplaza los siguientes elementos:
- INSTANCE_NAME: El nombre de la instancia.
- ACCESS_CONFIG_NAME: La configuración de acceso que se borrará. Asegúrate de incluir el nombre completo entre comillas.
Agrega la dirección IP externa nueva.

Agrega una nueva dirección IP externa con el subcomando instances add-access-config:

Nota: No reemplaces IP_ADDRESS con el nombre de la IP estática. Debes usar la dirección IP real.
```
gcloud compute instances add-access-config INSTANCE_NAME \
   --access-config-name "ACCESS_CONFIG_NAME" --address IP_ADDRESS
```
Reemplaza los siguientes elementos:
- INSTANCE_NAME: El nombre de la instancia.
- ACCESS_CONFIG_NAME: El nombre para llamar a esta configuración de acceso. Asegúrate de incluir el nombre completo entre comillas.
- IP_ADDRESS: La dirección IP que se agregará.
Si deseas que Compute Engine asigne una dirección IP externa efímera en lugar de usar una dirección IP externa estática, omite la propiedad --address IP_ADDRESS:
```
gcloud compute instances add-access-config INSTANCE_NAME \
    --access-config-name "ACCESS_CONFIG_NAME"
```

Promueve una dirección IP externa efímera

Si tu instancia tiene una dirección IP externa efímera y deseas asignar la IP a tu proyecto de manera permanente, debes promover la dirección IP externa efímera a una dirección IP externa estática. Promover una dirección IP externa efímera a una reservada no implica que Google Cloud descarte los paquetes enviados a la instancia. Esto incluye los paquetes que se enviaron a la instancia directamente o mediante un balanceador de cargas.

Console

En Cloud Console, ve a la página Direcciones IP externas.
Ir a la página Direcciones IP externas
En la columna Tipo, debes cambiar el tipo de la dirección IP que quieres promocionar a Estática.
Proporciona un nombre a la dirección IP estática nueva y haz clic en Reservar.

gcloud

A fin de ascender una dirección IP externa efímera a una dirección IP externa estática, proporciona la dirección IP externa efímera mediante la marca --addresses con el comando compute addresses create. Usa la marca region a fin de ascender una dirección IP regional efímera o la marca global a fin de ascender una dirección IP global efímera.

gcloud compute addresses create ADDRESS_NAME \
  --addresses IP_ADDRESS \
  [--region REGION | --global]

Reemplaza los siguientes elementos:

ADDRESS_NAME: El nombre que quieres asignar a esta dirección.
IP_ADDRESS: La dirección IP que deseas ascender.
REGION: La región a la que pertenece la dirección IP regional.

API

Para ascender una dirección IP regional efímera, llama al método addresses.insert:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/addresses

El cuerpo de la solicitud debe contener la siguiente información:

{
  name: "ADDRESS_NAME",
  address: "IP_ADDRESS"
}

Reemplaza los siguientes elementos:

ADDRESS_NAME: El nombre que quieres asignar a esta dirección.
IP_ADDRESS: La dirección IP que deseas ascender.
REGION: La región a la que pertenece la dirección IP.
PROJECT_ID: El ID del proyecto para esta solicitud.

Si quieres promover una dirección IP global efímera, debes realizar una solicitud POST al siguiente URI:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/addresses

El cuerpo de la solicitud debe contener la siguiente información:

{
  name: "ADDRESS_NAME",
  address: "IP_ADDRESS"
}

Reemplaza los siguientes elementos:

ADDRESS_NAME: El nombre que quieres asignar a esta dirección.
IP_ADDRESS: La dirección IP que deseas ascender.
PROJECT_ID: El ID del proyecto para esta solicitud.

La dirección IP externa permanece adjunta a la instancia incluso después de que se asigne a una dirección IP externa estática. Si necesitas asignar la dirección IP externa estática nueva a otro recurso, anula la asignación de la dirección IP externa estática de la instancia existente.

Listado de direcciones IP externas estáticas

Si quieres crear una lista de las direcciones IP externas estáticas que reservaste para tu proyecto, ejecuta addresses list o realiza una solicitud GET a la API.

Console

En Cloud Console, ve a la página Direcciones IP externas para ver una lista de las direcciones IP del proyecto.

Ir a la página Direcciones IP externas

gcloud

Usa el comando compute addresses list

gcloud compute addresses list

API

Realiza una llamada al método addresses.list:

GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/addresses

Reemplaza los siguientes elementos:

REGION: El nombre de la región para esta solicitud.
PROJECT_ID: El ID del proyecto para esta solicitud.

Para enumerar todas las direcciones de todas las regiones, llama al método aggregatedList.

GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/aggregated/addresses

Describe una dirección IP externa estática

A fin de obtener información sobre una dirección IP externa estática, usa la consola, la herramienta de gcloud o la API.

Console

En Cloud Console, ve a la página Direcciones IP externas.
Ir a la página Direcciones IP externas
Haz clic en la dirección IP que la que quieres obtener más información.

gcloud

Usa el comando addresses describe y reemplaza ADDRESS_NAME por el nombre de la dirección IP externa que deseas describir.

gcloud compute addresses describe ADDRESS_NAME

API

Realiza una llamada al método addresses.get:

GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/addresses/ADDRESS_NAME

Reemplaza los siguientes elementos:

ADDRESS_NAME: El nombre de la dirección IP.
REGION: El nombre de la región para esta solicitud.
PROJECT_ID: El ID del proyecto para esta solicitud.

Anula la asignación de una dirección IP externa estática

Si deseas anular la asignación de una dirección IP externa estática, debes borrar la instancia o borrar la configuración de acceso adjunta a la instancia que usa la dirección. Anular la asignación de una dirección IP externa estática te permite reasignarla a otro recurso.

Anular la asignación de una dirección IP la quita del recurso, pero conserva la dirección IP reservada para tu proyecto. Puedes saber que una dirección IP estática está en uso si realizas una solicitud gcloud compute addresses list:

gcloud compute addresses list

La respuesta podría ser similar a la que se muestra a continuación:

NAME                 REGION      ADDRESS            STATUS
example-address      REGION    130.211.160.207    RESERVED
example-address-new  REGION    130.211.114.137    IN_USE

En este ejemplo, example-address-new se encuentra en uso.

Si quieres borrar la configuración de acceso de una instancia y anular la asignación de una dirección IP externa estática, sigue estos pasos:

Obtén el nombre de la configuración de acceso que quieres borrar. Para obtener el nombre, usa el comando gcloud compute instances describe. Reemplaza INSTANCE_NAME por el nombre de la instancia.
```
gcloud compute instances describe INSTANCE_NAME
```
La configuración de acceso aparece en el siguiente formato:
```
networkInterfaces:
- accessConfigs:
 - kind: compute#accessConfig
   name: external-nat
   natIP: 130.211.181.55
   type: ONE_TO_ONE_NAT
```
Nota: El name de tu configuración de acceso puede ser diferente de external-nat; asegúrate de verificar tu propio nombre de configuración de acceso. En algunos casos, se puede usar External NAT, una versión anterior del nombre de la configuración de acceso.
Borra la configuración de acceso.
Nota: Ten en cuenta que si una instancia no tiene una configuración de acceso, no podrás acceder a Internet.
Usa el comando instances delete-access-config:
```
gcloud compute instances delete-access-config INSTANCE_NAME \
        --access-config-name "ACCESS_CONFIG_NAME"
```
Reemplaza lo siguiente:
- INSTANCE_NAME: El nombre de la instancia.
- ACCESS_CONFIG_NAME: El nombre de la configuración de acceso que se borrará. Asegúrate de incluir el nombre completo entre comillas.

Comprueba que tu dirección IP externa estática ahora esté disponible y marcada como RESERVED, en lugar de IN_USE.

gcloud compute addresses list

Por ejemplo:

NAME                 REGION      ADDRESS            STATUS
example-address      REGION      130.211.160.207    RESERVED
example-address-new  REGION      130.211.114.137    RESERVED

Ya que tu dirección IP externa estática está disponible, puedes elegir asignarla a otra instancia.

Libera una dirección IP externa estática

Si ya no necesitas una dirección IP externa estática, puedes liberarla a fin de que se muestre al grupo de IP general para otros usuarios de Compute Engine.

Console

En Cloud Console, ve a la página Direcciones IP externas.
Ir a la página Direcciones IP externas
Marca la casilla que aparece junto a la dirección IP que deseas liberar.
Haz clic en Liberar dirección IP.

gcloud

Usa el comando compute addresses delete. Reemplaza ADDRESS_NAME por el nombre de la dirección IP que deseas liberar.

gcloud compute addresses delete ADDRESS_NAME

API

Realiza una llamada al método addresses.delete:

DELETE https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/addresses/ADDRESS_NAME

Reemplaza los siguientes elementos:

ADDRESS_NAME: El nombre de la dirección IP.
REGION: El nombre de la región para esta solicitud.
PROJECT_ID: El ID del proyecto para esta solicitud.

Restringe direcciones IP externas a instancias de VM específicas

Para ciertas cargas de trabajo, puede que tengas requisitos esenciales que incluyen restricciones de seguridad y de red. Por ejemplo, es posible que desees restringir la dirección IP externa para que solo instancias de VM específicas puedan usarlas. Esta opción puede ayudar a evitar el robo de datos o mantener el aislamiento de red. Mediante una política de la organización, puedes restringir las direcciones IP externas a instancias de VM específicas con restricciones a fin de controlar el uso de direcciones IP externas para las VM dentro de una organización o un proyecto.

La restricción para controlar la dirección IP externa en instancias de VM es la que se muestra a continuación:

constraints/compute.vmExternalIpAccess

Para usar la restricción, debes especificar una política con una lista allowedList de instancias de VM que pueden tener direcciones IP externas. Si no se especifica ninguna política, se pueden usar todas las direcciones IP externas para todas las instancias de VM. Cuando la política está vigente, solo a las instancias de VM que aparecen en la lista de allowedValues se les puede asignar una dirección IP externa, ya sea efímera o estática, y otras instancias de VM de Compute Engine en la organización o proyecto que no están definidas de forma explícita en la política tienen prohibido el uso de direcciones IP externas.

Se identifican las VM en las listas de anunciantes permitidos y de denegación con el URI de la instancia:

projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME

Especificaciones

Solo puedes aplicar esta restricción de lista a instancias de VM.
No puedes aplicar la restricción de forma retroactiva. Todas las instancias de VM que tienen direcciones IP externas antes de que se habilite la política mantendrán su dirección IP externa.
Esta restricción acepta una allowedList o una deniedList, pero no ambas en la misma política.
Depende de ti o de un administrador que cuente con los permisos correctos para administrar y mantener el ciclo de vida y la integridad de la instancia. La restricción solo verifica el URI de la instancia y no evita que se alteren, borren o se vuelvan a crear las VM incluidas en la lista de anunciantes permitidos.

Permisos

Para establecer una restricción en el proyecto o en el nivel de la organización, debes tener la función orgpolicy.policyAdmin en la organización.

Establece la restricción de políticas a nivel de la organización

Primero necesitas el ID de tu organización si quieres establecer una restricción a fin de acceder a la IP externa.

Busca el ID de tu organización

Console

También puedes buscar el ID en Google Cloud Console:

Accede a Google Cloud Console.
Haz clic en el selector de proyectos.
Selecciona una organización y busca el ID de la organización.

gcloud

Si deseas encontrar la n numérica, ejecuta el comando organizations list y busca el ID en la respuesta:

gcloud organizations list

Con la herramienta de gcloud, se muestra algo similar a lo siguiente:

DISPLAY_NAME           ID
example-organization   29252605212

Establece tu restricción de política

Console

Ve a la página Políticas de organización.
Ir a la página Organizational Policies
Si es necesario, elige la organización deseada en el menú desplegable del proyecto.
Haz clic en Definir IP externas permitidas para instancias de VM.
Haz clic en Editar para editar la política de IP externa. Si no puedes acceder a la herramienta Editar, no tienes los permisos correctos.
Selecciona la Plataforma de CPU y GPU para establecer la política de la organización específica de las instancias de VM específicas.
Elige la Aplicación de la política (Policy enforcement) deseada y el Tipo de política.
En Valores de la política, selecciona Personalizar.
Ingresa un URI para una instancia de VM y presiona Intro. El URI debe tener el siguiente formato:
```
projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME
```
Continúa ingresando instancias de VM según sea necesario.
Haz clic en Guardar para guardar los cambios.

gcloud

Usa el comando gcloud beta resource-manager org-policies set-policy para establecer la política. Deberás proporcionar tu política como un archivo JSON. Crea un archivo JSON similar al siguiente:

{
"constraint": "constraints/compute.vmExternalIpAccess",
"listPolicy": {
  "allowedValues": [
     "projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME",
     "projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME",
     "projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME"
  ]
 }
}

Reemplaza los siguientes elementos:

PROJECT_ID: El ID del proyecto de esta solicitud, como example-project. Ten en cuenta que esto es diferente de la configuración de políticas de la organización, que requieren el ID numérico de la organización.
ZONE: La zona de la instancia.
INSTANCE_NAME: El nombre de la instancia.

De manera alternativa, puedes especificar una lista deniedValues en la que se expresen las instancias de VM que no quieres que tengan una dirección IP externa. A cualquier instancia que no esté en la lista se le permitirá de manera implícita tener una dirección IP externa. Solo puedes especificar allowedValues o deniedValues, pero no ambos.

Luego, debes pasar el archivo con la solicitud:

gcloud beta resource-manager org-policies set-policy MY_POLICY.JSON --organization ORGANIZATION_ID

Reemplaza ORGANIZATION_ID por el ID numérico de la organización.

Si no quieres que ninguna instancia tenga acceso a una IP externa, puedes establecer una política con allValues establecido en DENY:

{
  "constraint": "constraints/compute.vmExternalIpAccess",
  "listPolicy": {
    "allValues": "DENY"
  }
}

API

Usa la API de setOrgPolicy() para definir la restricción. Las VM que aparecen en la lista allowedValue que especificas podrán tener direcciones IP externas. De manera alternativa, puedes especificar una lista deniedValues en la que se expresen las instancias de VM que no quieres que tengan una dirección IP externa. A cualquier instancia que no esté en la lista se le permitirá de manera implícita tener una dirección IP externa. Solo puedes especificar allowedValues o deniedValues, pero no ambos.

Por ejemplo, la siguiente es una solicitud para establecer la restricción compute.vmExternalIpAccess en una organización en la que las instancias de VM de determinados proyectos dentro de la organización pueden tener direcciones IP externas:

POST https://cloudresourcemanager.googleapis.com/v1/organizations/ORGANIZATION_ID:setOrgPolicy

En el ejemplo anterior, ORGANIZATION_ID es el ID numérico de la organización.

Ahora, en el cuerpo de la solicitud, debes proporcionar la política deseada para esta restricción:

{
  "policy": {
    "constraint": "constraints/compute.vmExternalIpAccess",
    "listPolicy": {
      "allowedValues": [
        "projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME",
        "projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME",
        "projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME"
        ]
      }
    }
 }

Si no quieres que ninguna instancia tenga acceso a una IP externa, puedes establecer una política con allValues establecido en DENY:

{
  "policy": {
    "constraint": "constraints/compute.vmExternalIpAccess",
    "listPolicy": {
      "allValues": "DENY"
      }
    }
 }

Establece la política en el nivel de proyecto

Establecer una política a nivel de proyecto anula la política a nivel de organización. Por ejemplo, si el nivel de la organización tiene example-vm-1 en la lista allowedValues, pero la política en el nivel de proyecto tiene la misma VM en la lista deniedValues, la instancia de VM no podrá tener una dirección IP externa.

Console

Sigue el mismo proceso documentado en Establece una restricción de política a nivel de la organización, pero elige el proyecto deseado del selector de proyectos, en lugar de la organización.

Selector de proyectos.

gcloud

Usa el comando gcloud beta resource-manager org-policies set-policy para establecer la política. Deberás proporcionar tu política como un archivo JSON. Crea un archivo JSON similar al siguiente:

{
 "constraint": "constraints/compute.vmExternalIpAccess",
 "listPolicy": {
  "allowedValues": [
   "projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME"
  ]
 }
}

Reemplaza los siguientes elementos:

PROJECT_ID: El ID del proyecto para esta solicitud, como example-project. Ten en cuenta que esto es diferente de la configuración de políticas de la organización, que requieren el ID numérico de la organización.
ZONE: La zona de la instancia
INSTANCE_NAME: El nombre de la instancia.

De manera alternativa, puedes especificar una lista deniedValues de instancias de VM a las que deseas prohibir de manera explícita que tengan una dirección IP externa. A cualquier instancia que no esté en la lista se le permitirá de manera implícita tener una dirección IP externa. Solo puedes especificar allowedValues o deniedValues, pero no ambos.

Luego, debes pasar el archivo con la solicitud:

gcloud beta resource-manager org-policies set-policy MY_POLICY.JSON --project example-project

API

Usa la API de setOrgPolicy() para definir la restricción. Las VM que aparecen en la lista allowedValue que especificas podrán tener direcciones IP externas. De manera alternativa, puedes especificar una lista deniedValues en la que se expresen las instancias de VM que no quieres que tengan una dirección IP externa. Cualquier instancia que no esté en la lista, está autorizada de forma implícita a tener una dirección IP externa. Solo puedes especificar allowedValues o deniedValues, pero no ambos.

Por ejemplo, la siguiente es una solicitud para establecer la restricción compute.vmExternalIpAccess en un proyecto a fin de permitir que instancias de VM específicas tengan direcciones IP externas:

POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setOrgPolicy

Reemplaza PROJECT_ID por el ID del proyecto para esta solicitud.

El cuerpo de la solicitud contiene la política deseada de esta restricción:

{
 "policy": {
  "constraint": "constraints/compute.vmExternalIpAccess",
  "listPolicy": {
   "allowedValues": [
    "projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME"
   ]
  }
 }
}

Prácticas recomendadas

Google recomienda que evites usar la lista deniedValues con esta restricción. Definir los valores en la lista deniedValues implica que solo las instancias de VM en la lista deniedValues tienen restringido el uso de direcciones IP externas. Esto podría representar un problema de seguridad si quieres controlar con precisión qué instancias pueden tener direcciones IP externas. Si quieres quitar determinadas instancias de la lista allowedValues, debes actualizar la política existente para quitar las instancias de allowedList, en lugar de colocar las instancias en la lista deniedValues en una jerarquía inferior.
Si deseas establecer una política en una gran parte de la jerarquía de recursos, pero eximir determinados proyectos, debes restablecer la política predeterminada con el método setOrgPolicy mediante la especificación del objeto restoreDefault a fin de permitir que todas las VM en los proyectos se asocien con direcciones IP externas. Las políticas vigentes en la actualidad para los proyectos no se verán afectadas por esta configuración predeterminada.
Usa esta política de organización junto con las funciones de IAM si quieres controlar mejor tu entorno. Esta política solo aplica a las instancias de VM, pero si deseas controlar y restringir mejor las direcciones IP externas en los dispositivos de red, puedes otorgar la función compute.networkAdmin a las partes correspondientes.
Todos los servicios y productos que se ejecutan en Compute Engine dentro de la organización o proyecto con la política habilitada están sujetos a esta política de la organización. En particular, los servicios como Google Kubernetes Engine, Dataflow, Dataproc y Cloud SQL se ven afectados por esta política. Si esto genera algún problema, Google recomienda configurar otros servicios y productos en un proyecto diferente que no tenga aplicada la política de la organización, y usar Cross Project Networking si es necesario.

Pasos siguientes

Obtén más información sobre direcciones IP.
Obtén más información sobre redes y firewalls.
Obtén más información sobre cómo acceder a instancias de VM con DNS interno.
Revisa los precios de VPC.