変更要約: Professional Cloud Network Engineer 第2章を新規作成（ドメイン2「実装」: VPC/サブネット/ファイアウォールルール・ポリシー、VPC ピアリング(非推移)、Shared VPC と compute.networkUser、Private Google Access、VPC Service Controls 境界、サブネット拡張、静的/Cloud Router 動的ルーティング、ルート優先度/ネットワークタグ、内部 LB ネクストホップ、ポリシーベースルーティング、Network Connectivity Center のスポーク/トポロジ/Private NAT/PSC 伝播/CIDR フィルタ、GKE＝VPC ネイティブ/限定公開クラスタ/承認済みネットワーク/DNS ベースエンドポイント/Dataplane V2/IP マスカレード/ネットワークポリシー/Pod・Service 範囲）。
2.1VPC の構成とルーティング
VPC リソース（ネットワーク/サブネット/ファイアウォールルールまたはポリシー）の作成、VPC ネットワークピアリング、Shared VPC の作成とサービスプロジェクトへのサブネット共有・IAM 権限、Private Google Access、VPC Service Controls 境界、サブネット範囲の拡張、静的/動的ルーティング（Cloud Router）、ルート優先度とネットワークタグ、内部 LB をネクストホップにする構成、ポリシーベースルーティングを理解します。
設計を実物にする工程です。VPC・サブネット・ファイアウォール・経路を作り、サービスへの到達性と統制を正しく構成します。要件を「どの設定で実現するか」に落とします。
2.1.1VPC・サブネット・ファイアウォール・共有
VPC とその サブネット（リージョン単位）を作り、許可/拒否を ファイアウォールルール または ファイアウォールポリシー で定義します。複数プロジェクトに 1 つの VPC を使わせるには Shared VPC を有効化し、サービスプロジェクトに サブネット利用権限（IAM の compute.networkUser）を付与します。別 VPC 同士は VPC ネットワークピアリング で接続します（推移しない＝transitive でない点に注意）。外部 IP を持たない VM から Google API へ到達するには Private Google Access を有効化し、機微サービスのデータ持ち出しは VPC Service Controls の サービス境界 で防ぎます。稼働後に IP が足りなくなったら サブネット範囲の拡張 で広げられます。
2.1.2ルーティングとネクストホップ
経路は 静的ルート と、Cloud Router による 動的ルーティング（BGP）で構成します。スコープは グローバル か リージョナル の動的ルーティングモードで決めます。同一宛先に複数経路があるときは ルート優先度（priority・小さいほど優先）と ネットワークタグ で適用先を絞ります。トラフィックを検査アプライアンスへ通すには 内部ロードバランサをネクストホップ に指定したり、送信元/プロトコルなどで経路を変える ポリシーベースルーティング を使います。VPC ピアリングや NCC をまたぐ経路は カスタムルートのインポート/エクスポート で交換します。「同一宛先の選択＝優先度」「検査用に経路を曲げる＝ILB ネクストホップ/ポリシーベースルート」を結びます。
「要件 → 手段」が頻出。例：「サービスプロジェクトに Shared VPC サブネットを使わせる」＝compute.networkUser 付与、「外部 IP なし VM から Google API へ」＝Private Google Access、「機微サービスのデータ持ち出し防止」＝VPC Service Controls 境界、「同一宛先で経路を選ぶ」＝ルート優先度、「特定 VM のトラフィックを検査 LB へ」＝内部 LB をネクストホップ/ポリシーベースルート。
混同に注意：
①VPC ピアリングは推移しない＝A-B と B-C があっても A-C は通らない（NCC/ハブ&スポークを検討）。
②Private Google Access（Google API へ非公開到達）と Cloud NAT（一般インターネット外向き）は目的が別。
③ルート優先度は値が小さいほど優先。
2.1.3この節のまとめ
- Shared VPC のサブネット利用は compute.networkUser、別 VPC 接続は（非推移の）ピアリング
- 外部 IP なしで Google API＝Private Google Access、データ持ち出し防止＝VPC Service Controls 境界
- 経路は静的/Cloud Router 動的、同一宛先は優先度、検査は ILB ネクストホップ/ポリシーベースルート
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. サービスプロジェクトのチームが Shared VPC のサブネットでリソースを作れるようにしたい。付与すべき IAM ロールはどれですか？
Q2. 外部 IP を持たない VM から Cloud Storage などの Google API へプライベートに到達させたい。設定はどれですか？
Q3. BigQuery や Cloud Storage からの不正なデータ持ち出しを境界で防ぎたい。最適なのはどれですか？
Q4. 東西トラフィックを検査用のファイアウォールアプライアンスへ通したい。Google 推奨のネクストホップ構成はどれですか？
Q5. A-VPC と B-VPC、B-VPC と C-VPC をそれぞれピアリングした。A から C へ通信できない理由として正しいのはどれですか？