Secure Web Proxy で自動作成される Cloud NAT がサブネット全体に適用されちゃうみたいなので、Private な Workstation も SWP を経由しないで外に出ていくことができるっぽい

Cloud Workstations はまだ secure tag に対応してなさそう (network tag は設定できる) だから、firewall policy で FQDN オブジェクト扱いたいときとかは service account で制御する必要がありそうな雰囲気
cloud.google.com/sdk/gcloud/r...