启用VPC服务控制的项目中Cloud Workstations镜像拉取失败求助

System images cannot be pulled onto workstation VMs using this configuration. Since you have disabled public IP addresses, ensure you have enabled PGA for Artifact Registry and Container Registry by setting up DNS records for *.pkg.dev and *.gcr.io or set up Cloud NAT to allow pulling system images on your workstation VMs.

已尝试的操作与配置 #

• 镜像使用情况：使用同项目Artifact Registry中的自定义镜像，同时测试过官方默认镜像us-central1-docker.pkg.dev/cloud-workstations-images/predefined/code-oss:latest，已将目标项目加入组织策略的可信镜像列表。
• DNS配置（适配VPC服务控制受限API）：
  • Artifact Registry：

    DNS name- pkg.dev.
    CNAME - *.pkg.dev.
    A record - pkg.dev.: 199.36.153.4, 199.36.153.5, 199.36.153.6, 199.36.153.7
    

  • Container Registry：

    DNS name - gcr.io.
    CNAME  - *.gcr.io.
    A record - gcr.io. - 199.36.153.4, 199.36.153.5, 199.36.153.6, 199.36.153.7
    

  • Restricted Google-apis：

    DNS name - googleapis.com
    CNAME -  *.googleapis.com
    A record - restrcted.googleapis.com - 199.36.153.4, 199.36.153.5, 199.36.153.6, 199.36.153.7
    

• 网络配置：单个VPC+单个子网，已配置Cloud NAT。
• VPC服务边界配置：
  • 保护资源：部署Cloud Workstations的目标项目
  • 受限服务：
    • Vertex AI API
    • Artifact Registry API
    • BigQuery API
    • Cloud Bigtable API
    • Cloud Build API
    • Kubernetes Engine API
    • Cloud Pub/Sub API
    • Cloud Run Admin API
    • Cloud SQL Admin API
    • Cloud Storage API
  • VPC可访问服务：
    • Artifact Registry API
    • BigQuery API
    • Compute Engine API
    • Container Registry API
    • Cloud DNS API
    • Cloud Logging API
    • Cloud Monitoring API
    • Network Connectivity API
    • Notebooks API
    • Cloud Storage API
    • Cloud Workstations API
  • 访问级别：Cloud Workstations服务账号已纳入访问级别对应的组
  • 入站策略：无
  • 出站策略：
    规则1：
    • 来源：ANY_SERVICE_ACCOUNT
    • 目标：
      • 项目：所有项目
      • 服务及操作：
        • artifactregistry.googleapis.com：所有操作
        • storage.googleapis.com：所有操作
        • containerregistry.googleapis.com：所有操作
        • workstations.googleapis.com：所有操作
        • compute.googleapis.com：所有操作
        • dns.googleapis.com：所有操作
        • networkconnectivity.googleapis.com：所有操作
        • servicedirectory.googleapis.com：所有操作

已按要求完成DNS记录配置与Cloud NAT部署，但镜像拉取错误仍存在，请求协助排查问题根源。

内容的提问来源于stack exchange，提问作者imanoobhelpme