AWS Client VPN がデバイスポスチャ評価をサポートし、コンプライアンス準拠デバイスのみの接続を許可可能に

AWS Client VPN に「デバイスポスチャ評価（Device Posture Assessment）」機能が追加されました。CrowdStrike、Jamf、JumpCloud といった既存のデバイス管理・セキュリティプロバイダーと連携し、暗号化ステータスやリスクレベルなどのデバイスの状態を自動評価します。要件は Cedar ポリシーを使用して定義し、Cedar ポリシーのテストツールを使用して検証可能です。また、セッション中の継続的な再評価と、非準拠時の自動切断、および影響を事前に確認するための「モニタリングのみモード」によるログ記録もサポートしています。本機能は追加費用なしで、AWS Client VPN が利用可能なすべてのリージョンで利用可能です。利用には AWS VPN Client バージョン 6.2.0 以降が必要です。

🛡️ セキュリティ強化の新たな一手

これまでの Client VPN は、ユーザー認証（SAML や Active Directory など）が中心でしたが、今回のアップデートにより「どのデバイスから接続しているか」という強力な追加レイヤーが加わりました。これにより、ゼロトラスト・ネットワーク・アクセス（Zero Trust Network Access: ZTNA）の考え方に一歩近づけます。

💡 技術的なメリットと解決される課題

• デバイスの状態による動的な制御: 「認証は通ったが、OSが古い」「暗号化されていない」といった、リスクのあるデバイスからの接続を遮断できます。
• 継続的な監視: セッション開始時だけでなく、接続中も状態を監視し、リスクが高まった瞬間に自動切断できるのは運用上非常に強力です。
• 安全な導入プロセス: 「いきなり切断して業務を止める」リスクを避けるため、モニタリングのみモードでログを確認しながらポリシーを調整できる点は、実務に即した設計です。

🇯🇵 日本国内の利用状況

リサーチの結果、東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) で提供済みであることが確認されています。国内のエンタープライズ環境でもすぐに導入検討が可能です。

🚀 実務へのアドバイスと次のステップ

• クライアントの更新: まずは、利用している AWS VPN Client のバージョンが 6.2.0 以上であることを確認してください。これより古いバージョンでは機能が動作しません。
• 段階的な導入: いきなり強制的な切断ルールを適用するのではなく、まずは「モニタリングのみモード」で既存デバイスのコンプライアンス状況を可視化することから始めるのが定石です。
• ポリシー設計: Cedar ポリシーの作成には、提供されている Test Policy ツールを活用して、意図しない拒否が発生しないよう慎重に検証してください。

参照元: AWS Client VPN 製品ページおよび AWS 公式発表 (https://://aws.amazon.com/about-aws/whats-new/2026/10/aws-client-vpn-device-posture/)