AWS Verified Access 新サービス2022 年〜
VPN なしで企業アプリケーションへのゼロトラストアクセスを提供するサービス
何ができるか
AWS Verified Access は、VPN を使わずに企業の内部アプリケーションへのセキュアなアクセスを提供するゼロトラストネットワークアクセスサービスです。ユーザーの ID (IAM Identity Center、Okta など) とデバイスのセキュリティ状態 (CrowdStrike、Jamf など) に基づいてアクセスを許可・拒否します。
どのような場面で使うか
リモートワーカーの社内アプリケーションへのアクセス、VPN の廃止・削減、アプリケーション単位のアクセス制御、デバイスのセキュリティ状態に基づくアクセスポリシーの適用に利用されます。
身近な例え
スマートロック付きのオフィスビルに例えられます。従来は入館証 (VPN) があれば全フロアに入れましたが、Verified Access はフロア (アプリケーション) ごとに本人確認 (ID 検証) と持ち物検査 (デバイス検証) を行い、許可されたフロアだけにアクセスを許可します。
Verified Access とは
AWS Verified Access は、ゼロトラストの原則に基づくアプリケーションアクセスサービスです。従来の VPN はネットワーク全体へのアクセスを許可しますが、Verified Access はアプリケーション単位でアクセスを制御します。「誰が」「どのデバイスから」「どのアプリケーションに」アクセスするかをポリシーで定義し、条件を満たす場合のみアクセスを許可します。
信頼プロバイダーとポリシー
Verified Access は 2 種類の信頼プロバイダーを使用します。ID プロバイダー (IAM Identity Center、Okta、Ping Identity) でユーザーの身元を確認し、デバイス管理プロバイダー (CrowdStrike、Jamf) でデバイスのセキュリティ状態を確認します。Cedar ポリシー言語でアクセスルールを記述し、ユーザーの属性 (部署、役職) やデバイスの状態 (OS バージョン、パッチ適用状況) に基づく細かいアクセス制御を実現します。
はじめかた
Verified Access コンソールで信頼プロバイダーを設定し、Verified Access インスタンスを作成します。アクセスグループとエンドポイントを定義し、Cedar ポリシーでアクセスルールを記述します。ユーザーはブラウザからエンドポイントの URL にアクセスし、認証とデバイス検証を経てアプリケーションに接続します。
注意点
- アプリケーションごとのエンドポイント時間課金とデータ処理量課金が発生する
- 提供開始当初は HTTP/HTTPS アプリケーションのみが対象だったが、2025 年 2 月から非 HTTP (TCP) リソースにも対応し、SSH・RDP・RDS などへの接続も保護できる
参考資料 (AWS 公式)
本ページの一次情報は AWS 公式サイトおよび公式ドキュメントです。最新の仕様 / 料金は次の公式ページで確認できます。
本ページと公式ドキュメントの記述が食い違う場合は、公式ドキュメントを正としてください。
