Acceso de confianza cero con AWS Verified Access - Conexión a aplicaciones sin necesidad de VPN

Se elimina la VPN y se logra un acceso de confianza cero que verifica en cada ocasión la identidad del usuario y el estado de seguridad del dispositivo. Se presenta el control detallado mediante políticas de Cedar.

Unos 7 min de lecturaÚltima actualización: 2026-10-31

La confianza cero y Verified Access

La confianza cero es un enfoque que no adopta el modelo de seguridad perimetral tradicional de «confiar porque se está dentro de la red» y verifica cada acceso. La VPN proporciona un túnel hacia la red corporativa, y una vez que se comprueba al conectarse, la configuración tiende a dar acceso a muchos recursos dentro de la red. Verified Access controla el acceso por aplicación y verifica en cada ocasión la identidad del usuario y el estado de seguridad del dispositivo. No es necesario instalar clientes VPN, gestionar las conexiones VPN ni escalar los servidores VPN, y los usuarios acceden a las aplicaciones desde el navegador.

Proveedores de confianza y diseño de políticas

Un proveedor de confianza es un componente que verifica la fiabilidad de la identidad del usuario y del dispositivo. Como proveedor de confianza de usuarios, se configura IAM Identity Center u otro proveedor de identidad, y se autentica a los usuarios con tokens de OIDC. Como proveedor de confianza de dispositivos, se configura un servicio de gestión de dispositivos, y se comprueban la versión del sistema operativo del dispositivo, el estado de aplicación de parches y el estado de funcionamiento del software de seguridad. Las políticas de acceso se escriben en el lenguaje Cedar y permiten o deniegan el acceso según la combinación del grupo de usuarios y el estado del dispositivo. Por ejemplo, se puede definir una política como «permitir solo el acceso de los miembros del grupo de ingenieros desde dispositivos cuyo estado ha comprobado el servicio de gestión de dispositivos».

Configuración y operación de los endpoints

Los endpoints de Verified Access se crean especificando un ALB o una interfaz de red. Si se coloca Verified Access delante de un ALB existente, se puede evaluar el acceso antes de que llegue a la aplicación. En el endpoint se configuran un dominio personalizado y un certificado TLS, y los usuarios acceden mediante una URL como https://app.example.com. Los registros de acceso recogen el ID de usuario, la información del dispositivo, la IP de origen y los resultados de la evaluación de las políticas, y se pueden enviar a CloudWatch Logs o S3. El equipo de seguridad analiza los registros para detectar patrones de acceso sospechosos y aprovecha lo obtenido para mejorar las políticas.

Precios de Verified Access

Los precios de Verified Access se componen del cobro por hora de las aplicaciones (endpoints) y del volumen de datos procesados. Cada endpoint cuesta aproximadamente 0.27 USD/hora (aproximadamente 194 USD al mes), y el procesamiento de datos cuesta aproximadamente 0.02 USD por GB (a fecha de agosto de 2026). Como la estructura de precios es distinta de la de Client VPN (aproximadamente 0.05 USD/hora por conexión + aproximadamente 0.10 USD/hora por asociación de subred), el coste se calcula según el número de aplicaciones que se protegen y el número de conexiones. En entornos con muchas aplicaciones, el coste fijo de los endpoints se acumula, por lo que Verified Access se implanta por fases y se comprueba su rentabilidad.

El enfoque de confianza cero y sus diferencias con la VPN

La VPN tradicional se basaba en la defensa perimetral, y una vez que se comprobaba al conectarse, la configuración tendía a dar acceso a muchos recursos dentro de la red. Esto tiene el punto débil de que, si alguien logra entrar en la red interna, los daños tienden a extenderse. La confianza cero parte de la premisa de «no confiar en nada», verifica el estado del usuario y del dispositivo en cada acceso y solo permite llegar a las aplicaciones concretas autorizadas. Verified Access sigue este enfoque y permite la conexión a aplicaciones individuales sin usar una VPN. Al no depositar una confianza implícita en toda la red, se dificulta que los atacantes se muevan entre aplicaciones.

La evaluación de la confianza y el estado del dispositivo

En Verified Access, la decisión de permitir o no el acceso se toma combinando varios puntos de vista. Además de la información de identidad sobre quién es el usuario, también se puede evaluar el estado, es decir, si el dispositivo que se conecta cumple los requisitos de seguridad. Por ejemplo, es posible un control como permitir la conexión solo desde dispositivos gestionados que se mantienen actualizados. Estas condiciones se escriben como políticas y se evalúan en cada acceso. Si se comprueban tanto la identidad como el dispositivo, cuando se filtran credenciales se puede denegar el acceso desde dispositivos que no cumplen las condiciones. Se combinan varios puntos de vista para decidir en cada acceso si se permite o se deniega.

Registros y auditoría

En la operación de la confianza cero, se deja constancia de quién accedió a qué y cuándo, y de si el acceso se permitió o se denegó. Verified Access deja registros detallados de cada decisión de acceso para que se puedan auditar más adelante. Como los registros se pueden generar en un formato estandarizado, también se facilita el análisis en combinación con otras herramientas de seguridad. Si se supervisan estos registros, se pueden detectar de forma temprana patrones de acceso anómalos y comportamientos imprevistos de las políticas. Los registros de acceso se utilizan para responder a incidentes y para comprobar si las políticas funcionan según lo previsto.

Implantación y migración por fases

Al pasar de una VPN existente, no se cambia de una sola vez, sino que se avanza por fases, aplicación por aplicación. Primero, se colocan algunas aplicaciones detrás de Verified Access y se verifican las políticas y el funcionamiento. Si no hay problemas, se amplía el alcance progresivamente. Los usuarios pueden acceder a las aplicaciones desde el navegador u otros medios sin iniciar un cliente VPN. Durante la migración, se revisan los registros de acceso y se migra con paso firme a la confianza cero mientras se comprueba si se está impidiendo el uso legítimo.

Resumen

Verified Access es un servicio que proporciona acceso a aplicaciones basado en los principios de confianza cero sin usar una VPN. Verifica en cada ocasión la identidad del usuario y el estado de seguridad del dispositivo, y controla el acceso por aplicación mediante políticas de Cedar. Se puede usar en situaciones en las que se conecta a aplicaciones internas desde un entorno de trabajo remoto.

Referencias (recursos oficiales de AWS)

Las fuentes primarias de esta página son el sitio web y la documentación oficiales de AWS. Consulta las páginas oficiales siguientes para conocer las especificaciones y los precios más recientes.

Si esta página y la documentación oficial difieren, prevalece la documentación oficial.

Detección de permisos excesivos con IAM Access Analyzer - Análisis de acceso externo y permisos no utilizadosDetecte los permisos no utilizados de los roles IAM a partir de CloudTrail y genere automáticamente políticas de mínimo privilegio. Explicamos desde la detección de acceso externo hasta la incorporación de verificaciones de políticas personalizadas en CI/CD.Gestión automatizada de certificados SSL/TLS con AWS Certificate Manager - De la emisión a la rotaciónExplicamos la emisión gratuita de certificados públicos con ACM, la validación DNS, la renovación automática y el despliegue en ALB / CloudFront.Obtención de informes de cumplimiento con AWS Artifact - Respuesta a auditorías y gestión de contratosPresenta cómo obtener informes de auditoría SOC, PCI DSS e ISO bajo demanda, y aplicar BAA y GDPR DPA de forma masiva a toda la organización con Organizations.Automatización de auditorías - Recopilación continua de evidencias de cumplimiento con AWS Audit ManagerExplica la recopilación automática de evidencias de auditoría con AWS Audit Manager. Presenta la evaluación automática basada en frameworks (SOC 2, PCI DSS, GDPR, etc.), gestión centralizada de evidencias y generación de informes de auditoría.La estructura oculta de los 12 dígitos del ID de cuenta de AWS - Por qué son 12 dígitos y qué se puede inferirUna exploración curiosa de por qué los ID de cuenta de AWS son números de 12 dígitos, la intención de diseño incorporada en la estructura ARN, y las consideraciones de seguridad sobre lo que se puede inferir a partir de un ID de cuenta.Por qué el usuario root de una cuenta AWS es peligroso - Filosofía de diseño de separación de privilegios y práctica de selladoExplicamos por qué el usuario root de AWS tiene privilegios que IAM no puede restringir, la lista de operaciones que solo el usuario root puede realizar, cómo configurar MFA y la estrategia de sellado mediante la gestión de acceso root de Organizations.Gestión de certificados y HTTPS - Operaciones automatizadas de certificados TLS con AWS Certificate ManagerAprenda sobre la emisión de certificados TLS/SSL, renovación automática y despliegue usando AWS Certificate Manager (ACM). Cubre la integración con CloudFront, ALB y API Gateway, validación DNS y uso de Private CA.Gestión dedicada de claves con AWS CloudHSM - Cifrado compatible con FIPS 140-3 Level 3Logre gestión de claves compatible con FIPS 140-3 Level 3 con instancias HSM dedicadas. Aprenda cuándo elegir CloudHSM sobre KMS y cómo integrar ambos mediante almacenes de claves personalizados de KMS.