零信任网络访问 - 使用 AWS Verified Access 实现无需 VPN 的安全访问

VPN 的挑战与零信任的必要性

过去，对企业内部应用程序的远程访问以 VPN 为主流。但是，VPN 存在许多问题。连接到 VPN 后就能访问整个网络，这违反了最小权限原则。VPN 集中器的带宽会成为瓶颈，随着远程办公人员的增加，性能会下降。VPN 客户端的安装和配置会成为用户的负担。一旦 VPN 的凭证泄露，整个网络都会面临危险。零信任模型基于无论网络内外都验证访问的原则，是解决这些问题的对策。AWS Verified Access 是 2023 年发布的零信任网络访问服务，在验证用户的身份和设备的可信度之后，按应用程序授予访问权限。

架构与策略定义

Verified Access 由 Verified Access 实例、信任提供商、访问组（Access Group）、端点和访问策略组成。访问组是共享策略的端点的组。端点表示受保护的应用程序，类型有负载均衡器、网络接口、网络 CIDR、Amazon RDS 这 4 种。访问策略使用 Cedar 策略语言定义。Cedar 是 AWS 开发的开源策略语言，可以以声明式的方式编写访问规则。

// 当用户属于工程组且设备处于合规状态时允许访问
permit(principal, action, resource)
when {
    context.identity.groups.contains("engineering") &&
    context.device.status == "compliant"
};

可以组合用户属性（组、邮件域）、设备属性（OS 版本、加密状态、补丁应用情况）和请求属性（IP 地址、时间段）进行精细的控制。

部署及与现有应用程序的集成

Verified Access 可以通过放置在现有应用程序的前端来部署。在 ALB 的前端部署 Verified Access 端点，用户从浏览器访问 Verified Access 的端点 URL。Verified Access 验证身份和设备，仅在符合策略时将请求转发到 ALB。对于 HTTP 应用程序，用户无需安装 VPN 客户端，即可从浏览器访问应用程序。由于 Verified Access 会在请求头中附加用户信息（邮件地址、组等）并转发到 ALB，因此也可以在应用程序端利用用户信息。通过与 CloudWatch Logs 的集成记录访问日志，可以审计谁在什么时间访问了哪个应用程序。

与 VPN 的比较和定价

Verified Access 与 VPN 的主要区别在于访问的粒度和用户体验。VPN 提供网络级别的访问，连接后访问范围覆盖网络内的广泛资源。Verified Access 提供应用程序级别的访问，只能访问策略允许的应用程序。VPN 通过安装客户端软件来使用，而 Verified Access 对 HTTP 应用程序从浏览器连接，对非 HTTP 应用程序从 Connectivity Client 连接。VPN 的集中器带宽有时会成为瓶颈，而 Verified Access 对每个发往应用程序的请求都通过策略进行评估。不过，也有需要 VPN 的情况。使用网络级别的访问时，选择 VPN（Client VPN）仍然合适。而通过 SSH 或 RDP 直接访问服务器等 TCP 通信可以由 Verified Access 的 Connectivity Client 处理（截至 2026 年 10 月）。费用为与 HTTP 端点关联的每个应用程序 0.27 美元/小时（约 197 美元/月），以及数据处理 0.02 美元/GB（截至 2026 年 8 月）。

适合的应用程序与适用范围

零信任访问适合用于保护只允许特定用户访问的系统，例如企业内部的 Web 应用程序和管理界面。如果将过去通过 VPN 公开的业务系统放在 Verified Access 之后，用户无需启动 VPN，即可从浏览器直接访问。另一方面，这种机制不适合面向公众开放的一般网站。有一种推进方式是先从想要严格控制访问的企业内部系统开始应用，在确认效果的同时扩大范围。识别需要保护的应用程序并确定适用范围，是采用零信任的出发点。

总结 - Verified Access 的利用指南

AWS Verified Access 是一项不使用 VPN、以零信任模型控制对企业内部应用程序访问的服务。它结合与身份提供商和设备管理解决方案的集成、通过 Cedar 策略进行的精细访问控制，以及放置在现有应用程序前端的部署方式来使用。在远程办公人员访问基于 Web 的企业内部应用程序的使用场景中，值得作为 VPN 的替代方案进行考虑。