---
title: "Zero-Trust Access"
type: concept
tags: ["AWS", "Security", "Zero-Trust", "IAM", "SSM"]
sources: ["ctp-topic-31-network-segregation-and-secure-access-to-the-new-aws-landing-zones"]
last_updated: 2026-05-08
---

## Definition
零信任访问（Zero-Trust Access）是一种安全模型，核心理念是"永不信任，始终验证"——无论请求来自网络内部还是外部，均需经过身份验证和授权检查。

## In AWS Landing Zone Context
在 [[ctp-topic-31-network-segregation-and-secure-access-to-the-new-aws-landing-zones]] 中，SSM 替代 VPN 体现了零信任访问原则：
- **默认不信任**：用户每次访问都需要通过 IAM 角色认证
- **最小权限**：仅授予访问特定 EC2 实例 SSM Agent 的权限
- **无需 VPN**：不依赖网络层面的信任，通过 IAM + SSM Agent 实现精细化访问控制
- **双因素认证**：结合 AWS IAM 条件和多因素认证（MFA）

## Relationship to Traditional VPN
| 维度 | 传统 VPN | Zero-Trust (SSM) |
|------|---------|------------------|
| 信任边界 | 网络层（VPN 隧道内即信任） | 身份层（每次验证） |
| 访问范围 | 网段级别（全网可通） | 实例级别（精确到单台 EC2） |
| 凭证管理 | VPN 共享凭证 | IAM Role 动态凭证 |
| 双因素 | 依赖 VPN 提供商 | 依赖 AWS IAM + MFA |

## Long-term Vision
在 [[ctp-topic-31-network-segregation-and-secure-access-to-the-new-aws-landing-zones]] 中描述的演进路径：
- 当前：SSM 零信任访问（临时方案）
- 最终目标：IaC 化 + Break-glass 应急访问，彻底消除控制台登录

## Related Concepts
- [[Network-Segmentation]] — 零信任网络隔离
- [[IAM-Role]] — 零信任身份模型
- [[AWS-SSM]] — 零信任访问的具体实施工具

## Related Sources
- [[ctp-topic-31-network-segregation-and-secure-access-to-the-new-aws-landing-zones]]