AWS Verified Accessによるゼロトラスト接続 VPNなしで社内アプリへ安全にアクセスさせる

社内アプリへのアクセスのためにVPNクライアントを配布し、接続後は広い範囲に到達できてしまう。そんな課題を解く選択肢が AWS Verified Access です。ANS試験では、ユーザーとデバイスの状態に基づくアクセス制御を理解しているかが問われます。

覚え方：Verified Accessの3つの要素

• トラストプロバイダー：ユーザーの身元（IAM Identity Centerや OIDC）とデバイスの状態を提供
• アクセスポリシー：Cedar言語で「誰が・どの条件で」アクセスできるかを定義
• エンドポイント：保護するアプリケーション（ALB、NLB、ネットワークインターフェイス）

仕組みと利点

ユーザーのリクエストをVerified Accessが受け取り、リクエストごとに身元とデバイスの状態をアクセスポリシーで評価してから、アプリケーションへ中継します。どんな要件のとき選ぶか：VPNクライアントの配布をなくしたい、アプリケーション単位で最小権限を適用したい、ログイン状態に加えてデバイスの安全性（OSの更新状況など）も条件にしたい場合です。

ポリシーとグループ

ポリシーは個別のエンドポイントに設定でき、共通の条件はグループ単位でまとめて管理できます。例えば「部門が経理で、かつデバイスが管理対象である場合のみ許可」と定義します。

ログと運用

アクセスのログをS3やCloudWatch Logsに出力でき、誰がどのアプリに接続したかを追跡できます。アプリケーション側のコードを変更せずに導入できる点も特徴です。

チェックリスト

• Verified Accessの3つの要素を挙げられる
• Client VPNとの違いを説明できる
• ポリシーがリクエストごとに評価されることを説明できる
• ログの出力先を説明できる

まとめ

アプリケーション単位のゼロトラストなアクセス制御が必要なら、Verified Accessを検討しましょう。 知識が定着したら、クイズで理解度を確認しましょう。最新の試験情報はAWS認定 公式ページで確認できます。