Implementando Acesso à Rede Zero Trust

Quando Usar

• Ao substituir o acesso remoto tradicional baseado em VPN por controles de acesso baseados em identidade
• Ao implementar microrsegmentação para limitar o movimento lateral dentro de redes em nuvem
• Quando a estratégia de conformidade ou segurança exige a adoção de arquitetura zero trust
• Ao fornecer acesso seguro a cargas de trabalho em nuvem sem expô-las à internet pública
• Ao construir políticas de acesso ciente do contexto com base na identidade do usuário, saúde do dispositivo e localização

Não use como substituto completo para controles de segurança de rede (ZTNA complementa, mas não substitui firewalls e ACLs de rede), para proteger aplicativos públicos voltados para a internet (use WAF) ou para acesso de dispositivos IoT onde a autenticação baseada em identidade não é viável.

Pré-requisitos

• Provedor de identidade (Entra ID, Okta, Google Workspace) com aplicação de MFA
• Capacidades de rede nativas da nuvem (AWS PrivateLink, Azure Private Link, GCP IAP)
• Solução de gerenciamento de dispositivos (Intune, Jamf, CrowdStrike) para avaliação da postura do dispositivo
• Service mesh ou proxy zero trust (Cloudflare Access, Zscaler ZPA ou IAP nativo da nuvem)
• Log centralizado para decisões de acesso e aplicação de políticas

Fluxo de Trabalho

Etapa 1: Implantar o GCP Identity-Aware Proxy (IAP) para Acesso a Aplicações

Configure o IAP para fornecer acesso autenticado a aplicações web sem VPN.

# Enable IAP API
gcloud services enable iap.googleapis.com

# Configure OAuth consent screen
gcloud iap oauth-brands create \
  --application_title="Corporate Apps" \
  --support_email=security@company.com

# Enable IAP on an App Engine application
gcloud iap web enable \
  --resource-type=app-engine \
  --oauth2-client-id=CLIENT_ID \
  --oauth2-client-secret=CLIENT_SECRET

# Enable IAP on a backend service (GCE/GKE)
gcloud compute backend-services update BACKEND_SERVICE \
  --iap=enabled,oauth2-client-id=CLIENT_ID,oauth2-client-secret=CLIENT_SECRET \
  --global

# Set IAP access policy (who can access)
gcloud iap web add-iam-policy-binding \
  --resource-type=app-engine \
  --member="group:engineering@company.com" \
  --role="roles/iap.httpsResourceAccessor"

# Configure access levels based on device and context
gcloud access-context-manager levels create corporate-device \
  --title="Corporate Managed Device" \
  --basic-level-spec=level-spec.yaml \
  --policy=POLICY_ID

Etapa 2: Implementar o AWS Verified Access para Zero Trust

Implante o AWS Verified Access para fornecer acesso baseado em identidade a aplicações internas.

# Create a Verified Access trust provider (OIDC)
aws ec2 create-verified-access-trust-provider \
  --trust-provider-type user \
  --user-trust-provider-type oidc \
  --oidc-options '{
    "Issuer": "https://login.microsoftonline.com/TENANT_ID/v2.0",
    "AuthorizationEndpoint": "https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/authorize",
    "TokenEndpoint": "https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/token",
    "UserInfoEndpoint": "https://graph.microsoft.com/oidc/userinfo",
    "ClientId": "CLIENT_ID",
    "ClientSecret": "CLIENT_SECRET",
    "Scope": "openid profile email"
  }'

# Create a Verified Access instance
aws ec2 create-verified-access-instance \
  --description "Zero Trust Access Instance"

# Attach trust provider to instance
aws ec2 attach-verified-access-trust-provider \
  --verified-access-instance-id vai-INSTANCE_ID \
  --verified-access-trust-provider-id vatp-PROVIDER_ID

# Create a Verified Access group with policy
aws ec2 create-verified-access-group \
  --verified-access-instance-id vai-INSTANCE_ID \
  --policy-document '{
    "Version": "2012-10-17",
    "Statement": [{
      "Effect": "Allow",
      "Principal": "*",
      "Action": "verified-access:AllowAccess",
      "Condition": {
        "StringEquals": {
          "verified-access:user/groups": "engineering"
        }
      }
    }]
  }'

# Create endpoint for an internal application
aws ec2 create-verified-access-endpoint \
  --verified-access-group-id vag-GROUP_ID \
  --endpoint-type load-balancer \
  --attachment-type vpc \
  --domain-certificate-arn arn:aws:acm:REGION:ACCOUNT:certificate/CERT_ID \
  --application-domain app.internal.company.com \
  --endpoint-domain-prefix app \
  --load-balancer-options '{
    "LoadBalancerArn": "arn:aws:elasticloadbalancing:REGION:ACCOUNT:loadbalancer/app/internal-app/xxx",
    "Port": 443,
    "Protocol": "https",
    "SubnetIds": ["subnet-xxx"]
  }'

…