ある企業は、リモート従業員が社内の複数の Web アプリケーション（HTTPS）へ VPN なしでアクセスできるゼロトラスト基盤を構築したいと考えています。要件として、リクエストごとに企業 IdP のユーザー ID と、サードパーティのデバイス管理サービスから得られるデバイスのコンプライアンス状態（セキュリティ態勢）を評価し、条件を満たす場合のみアプリへのアクセスを許可する必要があります。エージェント型 VPN クライアントの配布は避けたい方針です。この要件を満たす構成はどれですか。
AWS Verified Access は VPN なしでアプリ単位のゼロトラストアクセスを実現するサービスで、リクエストごとにトラストプロバイダーからのシグナルを評価します。 ユーザートラストプロバイダー（IAM Identity Center や OIDC IdP）とデバイストラストプロバイダー（サードパーティのデバイス管理サービス）を登録し、Cedar ベースのアクセスポリシーでユーザー ID とデバイスのコンプライアンス状態を組み合わせて評価できます。 選択肢1の Client VPN はエージェント型 VPN クライアントの配布が前提で、リクエストごとのデバイス態勢評価も行えないため要件に反する。 選択肢2の ALB の OIDC 認証はユーザー認証はできるが、サードパーティのデバイス態勢シグナルを評価する仕組みがなくデバイストラストを判定できない。 選択肢3の PrivateLink のエンドポイントポリシーはプリンシパル単位のアクセス制御であり、ユーザー ID やデバイスのコンプライアンス状態を条件評価する機能を持たない。