【正解】B
【0からの解説】
①前提知識：限定公開の Google アクセス（Private Google Access）は、外部 IP アドレスを持たない VM が、Cloud Storage や BigQuery などの Google API・サービスの外部 IP アドレスに到達できるようにする機能です。この機能は VPC 全体ではなく「サブネット単位」で有効にします。トラフィックは VPC から Google のネットワーク内で直接 Google API に届き、インターネットには出ません。
ただし、Google API の既定のドメイン（*.googleapis.com）や private.googleapis.com の IP アドレスへ届くには、そのアドレスへ向かうルートが必要です。通常はネクストホップが「デフォルト インターネット ゲートウェイ」のデフォルト ルート（0.0.0.0/0）を使います。名前は「インターネット ゲートウェイ」ですが、Google API 宛てのパケットは Google のネットワーク内にとどまり、外部 IP を持たない VM はインターネット上の他の宛先には出られません。
②要件の整理：Cloud Storage と BigQuery に接続すること、インターネットを経由しないこと、クラウドファーストで構成手順が最も少ないこと。
本問で見分けるべき点は 2 つです。(1) 限定公開の Google アクセスを「どの単位で」有効にするか（VPC かサブネットか）、(2) 「インターネットを経由しない」という言葉につられてデフォルト ルートを削除してよいか、です。どちらも誤解されやすいポイントで、選択肢はこの 2 点の組み合わせで作られています。
③正解の根拠：サブネットで限定公開の Google アクセスを有効にし、デフォルト インターネット ゲートウェイへのデフォルト ルートを用意する（既定の VPC には最初から存在）だけで、Cloud Storage と BigQuery を含む Google API にインターネットを経由せず接続できます。設定はサブネットのチェック 1 つとルートの確認だけで、最も手順が少ない構成です。より厳格にしたい場合は、private.googleapis.com（199.36.153.8/30）や restricted.googleapis.com 向けのルートと DNS を構成する方法もあります。
【誤りの選択肢】
A：限定公開の Google アクセスは VPC リソース全体の設定ではなく、サブネットごとに有効にする設定です。VPC 単位で構成するという前提が誤っています。
C：Cloud NAT は外部 IP を持たない VM がインターネットへ出るための送信元 NAT であり、Google API へのアクセスを「インターネットを経由させない」ための仕組みではありません。さらに、Cloud NAT はデフォルト インターネット ゲートウェイへのルートを必要とするため、デフォルト ルートを削除すると Cloud NAT 経由の通信も Google API への到達もできなくなります。
D：Secure Web Proxy は下り（外向き）ウェブ トラフィックを URL やホスト名で制御するプロキシで、Google API への私設接続の手段ではありません。プロキシのデプロイ・ポリシー・クライアント設定などが必要で、「構成手順が最も少ない」に反します。デフォルト ルートを削除すると Google API へのルートもなくなります。
【参考】
プライベート Google アクセス | Virtual Private Cloud限定公開の Google アクセスを構成する | Virtual Private Cloud