ある企業の GKE クラスタは、コントロールプレーンへのアクセスをインターネット経由の public endpoint で受けており、開発者は社内から kubectl で操作している。セキュリティ監査で、どこからでもコントロールプレーンに到達できる状態が指摘され、到達できる送信元を社内の固定 IP レンジだけに絞るよう求められた。アクセス方式そのものは変えずに対応する必要がある。どうすればよいか。