c4.9 ゼロトラストアクセスを強制する
内部アプリへの VPN レスアクセスで、文脈を追加の認証要素として使います。送信元ネットワーク、デバイスの状態（アンチマルウェアの稼働/更新、承認済み OS）などのシグナルが、アクセスを許可するか追加検証を要求するかを判断します。AWS Verified Access がこれを実装します。
実装ガイダンス
文脈を意識した VPN レスアクセス
ゼロトラストは、ネットワークの場所を信頼するのではなくリクエストごとに文脈を評価することで、摩擦を減らしつつセキュリティを高めます。送信元ネットワーク、デバイスの状態（アンチマルウェアは稼働・更新されているか、OS は承認済みか）、ワークステーションの構成といったシグナルが、アクセスを許可するか、MFA などの追加検証を要求するかを判断します。
AWS Verified Access
AWS Verified Access は、内部アプリへの安全な VPN レスアクセスを次のように提供します。 1. ID プロバイダー（Okta や Microsoft Entra ID など）で認証。 2. CrowdStrike や Jamf などの信頼プロバイダーからデバイスの状態を取得。 3. ID とデバイスのシグナルを、要求されたリソースとポリシー内で組み合わせ、アクセスを許可する条件を判断。
Verified Access は、ゼロトラスト条件の高速評価に最適化されたオープンソースのポリシー言語 Cedar を使います。
全体像
How to validate
- 内部アプリへのアクセスで、ネットワークの場所を信頼するのではなく文脈（ID、デバイスの状態、ネットワーク）を評価していますか？
- シグナルが異常なとき、追加検証（MFA など）を要求していますか？
- IdP とデバイス信頼プロバイダーに統合されたゼロトラストアクセスサービス（AWS Verified Access など）を使っていますか？
Threats addressed
- ネットワークの場所（たとえば「VPN 上」）を信頼すると、侵害されたデバイスや盗まれたセッションが内部アプリに到達できます。リクエストごとの文脈チェックがないと、追加検証を発動させるシグナルがありません。
AWS サービス
AWS Verified Access 
AWS IAM Identity Center 料金
AWS Verified Access の料金を参照してください。