Servicio que controla el acceso a aplicaciones y VMs según la identidad y el contexto, sin VPN. Su redirección de TCP permite conectarse por SSH o RDP a VMs sin IP externa, permitiendo en el firewall solo el rango 35.235.240.0/20.
En el ACE es la respuesta a "conectarse por SSH a una VM sin IP externa ni bastion": gcloud compute ssh --tunnel-through-iap y el rol IAP-secured Tunnel User.
Identity-Aware Proxy (IAP) es uno de los conceptos que puede aparecer en el examen. Revisa la guía completa para verlo en contexto.