借助 AWS Verified Access 实现的零信任访问 - 无需 VPN 的应用程序连接
摒弃 VPN，实现每次都验证用户身份和设备安全状态的零信任访问。介绍借助 Cedar 策略的精细控制。
零信任与 Verified Access
零信任是一种不采用“因为在网络内部所以信任”这种传统边界型安全模型、而在每次访问时都进行验证的思路。VPN 提供通往企业内部网络的隧道，在连接时确认一次之后，往往会形成连通网络中许多资源的架构。Verified Access 以应用程序为单位控制访问，每次都验证用户的身份和设备的安全状态。无需安装 VPN 客户端、管理 VPN 连接或扩展 VPN 服务器，用户通过浏览器访问应用程序。
信任提供商与策略设计
信任提供商是验证用户身份和设备可信度的组件。作为用户信任提供商，设置 IAM Identity Center 或其他身份提供商，并使用 OIDC 令牌对用户进行身份验证。作为设备信任提供商，设置设备管理服务，并确认设备的操作系统版本、补丁的应用状态以及安全软件的运行状态。访问策略用 Cedar 语言编写，根据用户组和设备状态的组合允许或拒绝访问。例如，可以定义“仅允许属于工程师组的用户从设备管理服务已确认状态的设备进行访问”之类的策略。
端点的设置与运维
Verified Access 端点通过指定 ALB 或网络接口来创建。在现有的 ALB 前面放置 Verified Access 后，可以在访问到达应用程序之前进行判定。为端点设置自定义域名和 TLS 证书，用户通过 https://app.example.com 这样的 URL 进行访问。访问日志会记录用户 ID、设备信息、访问来源 IP 以及策略的评估结果，并可以发送到 CloudWatch Logs 或 S3。安全团队分析日志以检测可疑的访问模式，并将其用于改进策略。
Verified Access 的定价
Verified Access 的定价由应用程序（端点）的按小时计费和数据处理量构成。每个端点约 0.27 美元/小时（每月约 194 美元），数据处理为每 GB 约 0.02 美元（截至 2026 年 8 月）。其计费构成与 Client VPN（每个连接约 0.05 美元/小时 + 子网关联约 0.10 美元/小时）不同，因此根据要保护的应用程序数量和连接数来计算费用。在应用程序数量多的环境中，端点的固定费用会累积起来，因此分阶段部署并确认成本效益。
零信任的思路及其与 VPN 的区别
传统的 VPN 以边界型防御为基础，在连接时确认一次之后，往往会形成连通网络中许多资源的架构。这存在一旦被入侵内部、损害就容易扩大的弱点。零信任以“什么都不信任”为前提，在每次访问时验证用户和设备的状态，仅允许到达经过许可的特定应用程序。Verified Access 遵循这一思路，在不使用 VPN 的情况下允许连接到各个应用程序。由于不对整个网络给予隐含的信任，攻击者会变得难以在应用程序之间移动。
信任的评估与设备的状态
在 Verified Access 中，是否允许访问是通过组合多个角度来判断的。除了用户是谁这一身份信息之外，还可以评估接入的设备是否满足安全要求这一状态。例如，可以进行仅允许从保持最新状态的受管设备进行连接之类的控制。将这些条件写成策略，并在每次访问时进行评估。同时确认身份和设备后，在认证信息泄露的情况下，可以拒绝来自不满足条件的设备的访问。组合多个角度，对每次访问决定允许还是拒绝。
日志与审计
在零信任的运维中，会记录谁在什么时候访问了什么，以及访问是被允许还是被拒绝。Verified Access 会为每次访问判断留下详细的日志，以便事后进行审计。由于可以以标准化的格式输出日志，与其他安全工具集成进行分析也会变得容易。如果监控这些日志，可以及早发现异常的访问模式和策略意料之外的行为。访问记录用于事件响应，以及确认策略是否按预期发挥作用。
部署与分阶段迁移
从现有的 VPN 迁移时，不一次性切换，而是按应用程序分阶段推进。首先将部分应用程序放在 Verified Access 之后，验证策略和运行情况。如果没有问题，再逐步扩大范围。用户可以在不启动 VPN 客户端的情况下，通过浏览器等访问应用程序。在迁移过程中确认访问日志，一边判断正当的使用是否受到妨碍，一边稳步迁移到零信任。
总结
Verified Access 是一项不使用 VPN、提供基于零信任原则的应用程序访问的服务。它每次都验证用户身份和设备的安全状态，并通过 Cedar 策略控制每个应用程序的访问。可以用于从远程办公环境连接企业内部应用程序的场景。
参考资料（AWS 官方）
本页的第一手信息来源是 AWS 官方网站及官方文档。最新的规格与价格请以下列官方页面为准。
如本页内容与官方文档不一致，请以官方文档为准。