【正解】B
【0からの解説】
①前提知識
Cloud DNS のマネージド ゾーンには、インターネット全体から名前解決できる「一般公開ゾーン」と、承認した VPC ネットワークの中からだけ名前解決できる「限定公開ゾーン（private zone）」があります。
DNS サーバー ポリシーで受信転送（inbound server policy）を有効にすると、VPC のサブネット内に Cloud DNS の受信用エントリ ポイント（内部 IP アドレス）が作られます。オンプレミスの DNS サーバーからこのアドレスに問い合わせを転送すると、Cloud VPN や Cloud Interconnect 経由で、その VPC に承認された限定公開ゾーンのレコードをオンプレミスからも解決できます。
②要件と制約語の整理
・VPC とオンプレミスの両方から internal.altostrat.com を解決する
・公共のインターネットからは解決できない
・Cloud VPN と受信サーバー ポリシーは構成済み
・「管理のオーバーヘッドを最小限に」
③正解の理由
限定公開ゾーンに A レコードを 1 つ作って VPC ネットワークを承認すれば、VPC 内の VM などはそのまま名前解決でき、インターネットには公開されません。オンプレミスからは、構成済みの受信サーバー ポリシーのエントリ ポイントに問い合わせを転送することで同じレコードを解決できます。レコードの管理場所が Cloud DNS の 1 か所に集約されるため、管理のオーバーヘッドが最小です。
【誤りの選択肢】
A：オンプレミスの DNS サーバーに A レコードを作るとオンプレミスからは解決できますが、VPC 内のリソースは既定で Cloud DNS（メタデータ サーバー）を使うため解決できません。VPC 側から使うにはさらに Cloud DNS の転送ゾーン（送信転送）を構成する必要があり、受信サーバー ポリシーを構成済みであることも活かせず、管理が増えます。
C：一般公開ゾーンのレコードは公共のインターネットから名前解決できるため、「インターネットから解決できてはならない」という要件に反します（内部 IP アドレスが外部に知られることにもなります）。
D：各従業員の HOSTS ファイルを手作業で編集する方法は、端末数に比例して管理負荷が増え、IP アドレス変更のたびに全台の修正が必要です。VPC 内のリソースからの名前解決にも対応できず、管理のオーバーヘッド最小という要件に最も反します。
【参考】
DNS ゾーンの概要DNS サーバーのポリシーCloud DNS のベスト プラクティス