AWS 的零信任网络 - 通过 Verified Access 和 PrivateLink 实现无边界安全
解析通过 AWS Verified Access、PrivateLink、VPC Lattice 实现零信任网络的方法，并与 Azure Private Link 的设计差异进行比较。
零信任原则与 AWS 的实现方式
零信任是「不信任任何事物，始终验证」的安全模型。传统的边界型安全信任内部网络、防御与外部的边界，而零信任不论网络位置如何都验证所有访问。AWS 采用的不是单一服务而是多个服务组合来实现零信任的方式。Verified Access 控制应用级访问，PrivateLink 提供服务间的私有连接，VPC Lattice 统一管理微服务间通信。这些服务的组合覆盖了从用户到应用、从应用到服务、从服务到服务的所有通信路径。
Verified Access - 无需 VPN 的应用访问
AWS Verified Access 是无需 VPN 即可安全提供企业应用访问的服务。传统上远程工作者访问内部应用需要 VPN 连接，但 VPN 允许对整个网络的访问，违反零信任原则。Verified Access 按应用单位定义访问策略，根据用户的身份、设备状态、网络位置等多个信号进行访问判断。与 AWS IAM Identity Center 和第三方身份提供商（Okta、Ping Identity 等）集成，实现基于身份的精细访问控制。每次访问请求都经过策略评估，仅允许满足条件的访问。
PrivateLink 实现服务间的私有连接
AWS PrivateLink 是从 VPC 内资源到 AWS 服务或其他 VPC 服务的私有连接机制，无需经过互联网。使用 PrivateLink 时，流量在 AWS 骨干网络内传输，不暴露于公共互联网。这直接对应零信任的「最小化攻击面」原则。PrivateLink 的技术实现是在消费者 VPC 中创建 ENI（弹性网络接口），通过该 ENI 与提供者服务通信。流量不经过互联网网关、NAT 网关或 VPN 连接，完全在 AWS 网络内完成。
VPC Lattice - 微服务间通信的统一管理
VPC Lattice 是 2023 年 GA 的相对较新的服务，是统一管理微服务间通信的应用网络服务。传统上控制微服务间通信需要组合 ALB、NLB、API Gateway、App Mesh 等，VPC Lattice 将这些功能整合，以单一服务提供服务间连接、流量管理和访问控制。VPC Lattice 的特点是可以跨 VPC 和账户边界连接服务。不同 VPC、不同账户的服务可以通过 VPC Lattice 的服务网络安全通信，无需 VPC Peering 或 Transit Gateway。
与 Azure Private Link 的设计差异
Azure 也提供 Private Link，基本概念与 AWS PrivateLink 相同。在 VNet 中创建私有端点，私有连接到 Azure 服务或其他 VNet 的服务。但存在一些设计差异。Azure Private Link 以与 Private DNS Zone 的集成为前提，DNS 解析的配置比 AWS 复杂。AWS 的 PrivateLink 通过 VPC 端点策略可以精细控制允许访问的操作和资源，这种策略级控制在 Azure 中较为有限。在零信任网络的整体方案上，Azure 以 Azure AD Conditional Access 和 Microsoft Defender for Cloud 为中心构建，与 Microsoft 生态系统的整合是其优势。AWS 则以 Verified Access + PrivateLink + VPC Lattice 的组合提供更灵活的构成。 如需深入了解零信任网络设计，相关书籍 (Amazon) 也可供参考。
总结
AWS 的零信任网络通过 Verified Access 的应用级访问控制、PrivateLink 的服务间私有连接、VPC Lattice 的微服务间通信统一管理的组合来实现。不依赖 VPN 的访问模型、不经过互联网的服务间通信、跨 VPC 边界的统一通信管理，超越了传统边界型安全的局限，实现了真正的零信任架构。Azure 以 Azure AD 为中心的整合方式在 Microsoft 生态系统中有效，但 AWS 的组合方式提供了更高的灵活性和精细控制。