Configurando o AWS Verified Access para ZTNA

Visão Geral

O AWS Verified Access é um serviço de Acesso à Rede Zero Trust (ZTNA) que fornece acesso seguro e sem VPN a aplicações corporativas hospedadas na AWS. Ele avalia cada solicitação de acesso em tempo real contra políticas de acesso condicional granulares escritas na linguagem de políticas Cedar, garantindo que o acesso seja concedido por aplicação apenas quando requisitos de segurança específicos, como identidade do usuário e postura de segurança do dispositivo, forem atendidos e mantidos. O Verified Access se integra ao AWS IAM Identity Center, provedores de identidade de terceiros (Okta, CrowdStrike, JumpCloud, Jamf) e soluções de gerenciamento de dispositivos. Para implantações multi-conta, o AWS Resource Access Manager (RAM) permite o compartilhamento de grupos do Verified Access entre unidades organizacionais.

Quando Usar

• Ao implantar ou configurar o AWS Verified Access para recursos ZTNA em seu ambiente
• Ao estabelecer controles de segurança alinhados a requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Conta AWS com permissões IAM apropriadas
• Provedor de identidade (AWS IAM Identity Center, Okta ou compatível com OIDC)
• Provedor de confiança de dispositivo (CrowdStrike, Jamf, JumpCloud ou nativo do AWS Verified Access)
• Application Load Balancer (ALB) interno ou endpoint de interface de rede
• Compreensão da linguagem de políticas Cedar
• VPC com cargas de trabalho de aplicação para proteger

Arquitetura

    End User (Browser)
         |
         | HTTPS
         v
  +------+--------+
  | Verified      |
  | Access        |
  | Endpoint      |
  | (Public DNS)  |
  +------+--------+
         |
  +------+--------+
  | Verified      |  <-- Cedar Access Policies
  | Access        |  <-- Identity Provider Signals
  | Instance      |  <-- Device Trust Signals
  | (Policy       |
  |  Evaluation)  |
  +------+--------+
         |
  +------+--------+
  | Verified      |
  | Access Group  |
  | (App Group)   |
  +------+--------+
         |
  +------+--------+
  | Internal ALB  |
  | or ENI Target |
  +------+--------+
         |
  +------+--------+
  | Application   |
  | (Private VPC) |
  +--------------+

Componentes Principais

Instância do Verified Access

A entidade regional que avalia as solicitações de acesso em relação às políticas.

# Create Verified Access Instance via AWS CLI
aws ec2 create-verified-access-instance \
  --description "Production Zero Trust Instance" \
  --tag-specifications 'ResourceType=verified-access-instance,Tags=[{Key=Environment,Value=production}]'

Provedores de Confiança

Provedor de Confiança de Identidade (AWS IAM Identity Center)

# Create identity trust provider
aws ec2 create-verified-access-trust-provider \
  --trust-provider-type user \
  --user-trust-provider-type iam-identity-center \
  --policy-reference-name "idc" \
  --description "IAM Identity Center trust provider" \
  --tag-specifications 'ResourceType=verified-access-trust-provider,Tags=[{Key=Type,Value=identity}]'

Provedor de Confiança de Identidade (OIDC - Okta)

aws ec2 create-verified-access-trust-provider \
  --trust-provider-type user \
  --user-trust-provider-type oidc \
  --oidc-options '{
    "Issuer": "https://company.okta.com/oauth2/default",
    "AuthorizationEndpoint": "https://company.okta.com/oauth2/default/v1/authorize",
    "TokenEndpoint": "https://company.okta.com/oauth2/default/v1/token",
    "UserInfoEndpoint": "https://company.okta.com/oauth2/default/v1/userinfo",
    "ClientId": "0oa1234567890",
    "ClientSecret": "client-secret-here",
    "Scope": "openid profile groups"
  }' \
  --policy-reference-name "okta" \
  --description "Okta OIDC trust provider"

Provedor de Confiança de Dispositivo (CrowdStrike)

aws ec2 create-verified-access-trust-provider \
  --trust-provider-type device \
  --device-trust-provider-type crowdstrike \
  --device-options '{
    "TenantId": "crowdstrike-tenant-id",
    "PublicSigningKeyUrl": "https://api.crowdstrike.com/zero-trust/v2/certificates"
  }' \
  --policy-reference-name "crowdstrike" \
  --description "CrowdStrike device trust provider"

Anexar Provedores de Confiança à Instância

# Anexar provedor de identidade
aws ec2 attach-verified-access-trust-provider \
  --verified-access-instance-id vai-0123456789abcdef \
  --verified-access-trust-provider-id vatp-0123456789abcdef

# Anexar provedor de dispositivo
aws ec2 attach-verified-access-trust-provider \

…