Parece que não pode ser feito ...
As imagens do Windows não podem ser ativadas sem uma conexão de rede para kms.windows.googlecloud.com e deixar de funcionar se não forem autenticadas dentro de 30 dias. Crie um IP externo para suas instâncias do Windows para que eles possam autenticar.
Apenas por curiosidade, eu configurei o IP externo para o servidor por trás do nat e configurei o roteamento para o IP do servidor kms para passar pelo gateway padrão da internet, mas sem sucesso ...