使用 AWS Verified Access 实现零信任访问 - 无需 VPN 的应用程序连接
消除 VPN，每次验证用户身份和设备安全状态，实现零信任访问。介绍通过 Cedar 策略实现精细控制的方法。
零信任与 Verified Access
零信任否定了「因为在网络内部所以信任」的传统边界安全模型，是一种验证所有访问的理念。VPN 提供到企业内网的隧道，但存在连接 VPN 后就能访问所有资源的问题。Verified Access 以应用程序为单位控制访问，每次验证用户的身份和设备的安全状态。无需安装 VPN 客户端、管理 VPN 连接、扩展 VPN 服务器，用户通过浏览器直接访问应用程序。
信任提供商与策略设计
信任提供商是验证用户身份和设备可信度的组件。作为用户信任提供商，设置 IAM Identity Center、Okta、Ping Identity 等 IdP，通过 OIDC 令牌认证用户。作为设备信任提供商，设置 CrowdStrike 或 Jamf，验证设备的操作系统版本、补丁状态和安全软件运行状态。访问策略使用 Cedar 语言编写，通过用户组和设备状态的组合来允许或拒绝访问。例如可以定义「仅允许属于工程师组且 CrowdStrike 处于活动状态的设备的访问」等策略。
端点设置与运维
Verified Access 端点通过指定 ALB 或网络接口来创建。在现有 ALB 前端部署 Verified Access，无需修改应用程序即可应用零信任访问。端点设置自定义域名和 TLS 证书，用户通过 https://app.example.com 这样的 URL 进行访问。访问日志记录用户 ID、设备信息、访问源 IP 和策略评估结果，可发送到 CloudWatch Logs 或 S3。安全团队分析日志检测可疑的访问模式，用于改进策略。 要深入了解无 VPN 的实践知识，专业书籍 (Amazon)会有所帮助。
Verified Access 的定价
Verified Access 的定价由应用程序（端点）的按时计费和数据处理量构成。每个端点约 0.27 美元/小时（月额约 194 美元），数据处理每 GB 约 0.02 美元。与 VPN 解决方案（Client VPN 每连接约 0.05 美元/小时 + 子网关联约 0.10 美元/小时）相比，对少量应用程序的访问控制，Verified Access 更简单且成本更低。但在应用程序数量多的环境中，端点的固定费用会累积，因此建议分阶段引入并验证性价比。
总结
Verified Access 是消除 VPN、基于零信任原则提供应用程序访问的服务。每次验证用户身份和设备安全状态，通过 Cedar 策略实现精细的访问控制。最适合远程办公环境中的安全应用程序访问。