用途：为 Google Cloud 上的应用（App Engine、Cloud Run、GKE、Compute Engine）配置基于身份的访问控制，实现无需 VPN 或公网 IP 的内部工具安全访问，并对 Web 应用与 TCP 服务做逐请求认证授权。不适用于无法置于 HTTPS 负载均衡器后的非 HTTP 应用、需匿名访问的公开应用，或自带认证流程会与 IAP 冲突的场景。
主要能力：启用 IAP API 与 Access Context Manager；创建 OAuth 同意屏幕与客户端；在 Compute Engine 后端服务、App Engine、Cloud Run 上启用 IAP；配置 IAP TCP 转发以支持 SSH/RDP；通过 IAM 绑定授予用户或群组访问权限，并支持访问级别、时间段、URL 路径等条件；用 Access Context Manager 创建基于设备状态、IP 网段、地域的访问级别（含 CEL 自定义表达式）；设置会话时长与重认证策略；为服务账号配置程序化访问；启用审计日志、日志指标与告警。
使用方式：需已启用计费的 GCP 项目、启用 iap.googleapis.com、应用部署在 HTTPS 负载均衡器/App Engine/Cloud Run 后、具备 Cloud Identity 或 Workspace、启用 Access Context Manager API 并配置 OAuth 同意屏幕。核心命令包括 gcloud services enable iap.googleapis.com、gcloud iap oauth-brands create、gcloud compute backend-services update --iap=enabled、gcloud iap web enable、gcloud iap web add-iam-policy-binding、gcloud access-context-manager levels create、gcloud iap settings set、gcloud compute ssh --tunnel-through-iap 等。
限制：IAP 每请求增加约 10-50ms 延迟；WebSocket 需特定后端配置；GKE 内部服务间调用应绕过 IAP；应急访问需单独 IAM 绑定。具体收费与配额暂未提供。