用途：以身份与设备为中心的按请求验证，替代传统 VPN 访问内部应用。资料给出适用场景：迁移至 Google Cloud 后需零信任访问、需设备信任校验、需基于用户身份/设备姿态/位置的上下文策略、支持远程与混合办公；不适用于需原始网络层协议（如 IAP 不支持的 UDP）、面向公众的应用，或组织缺少支持 MFA 的身份提供商时。
主要能力与流程分六步：一，启用 iap、accesscontextmanager、beyondcorp 等 API，在组织级创建访问策略并用 YAML 定义访问级别（如开启加密、OS 最低版本、需锁屏、需管理员审批、允许地区），也可用 CEL 自定义级别。二，为后端服务、App Engine、Cloud Run 启用 IAP，创建 OAuth 品牌与客户端。三，按群组绑定 roles/iap.httpsResourceAccessor，并附加访问级别条件，设置重新认证方式与最长会话时长。四，通过 Chrome 策略部署 Endpoint Verification 扩展，收集设备姿态，并可创建连接器接入第三方 EDR 信号。五，配置威胁防护与连接器，使本地应用经 IAP 受保护。六，用日志接收器把 IAP 决策导出到 BigQuery，做访问模式分析并建立拒绝率告警。
关键概念：BeyondCorp 为 Google 零信任框架；IAP 拦截 HTTP 请求先验证身份与设备上下文；Access Context Manager 定义基于属性的访问级别；Endpoint Verification 采集设备属性；Chrome Enterprise Premium 提供威胁防护、URL 过滤、DLP 与持续评估。
使用方式：以 gcloud/bq 命令与 YAML 策略为主，示例命令保持原样，实际执行需替换 ORG_ID、POLICY_ID、CLIENT_ID 等占位符。
限制：需组织级 Google Cloud 与 Cloud Identity/Workspace、IAP 与 Access Context Manager API、Chrome Enterprise Premium 许可、应用位于负载均衡/App Engine/Cloud Run 之后，并在所有企业设备部署扩展。设备注册需约两周导入期；遗留应用可能需 TCP 隧道模式；需准备身份提供商故障时的应急处置账号。本资料未提供具体价格、收费或效果承诺。