# AWS opisuje prywatny dostęp do Amazon Quick przez PrivateLink - Source: MechNext — https://mechnext.eu/pl/article/48-aws-outlines-private-amazon-quick-access-with-privatelink - Published: 2026-10-22 - Updated: 2026-10-22 - Category: Industry News - Language: pl (Markdown in other languages: ?lang=en, ?lang=de, ?lang=sk, ?lang=zh, ?lang=ru) > Poradnik AWS rozdziela dostęp użytkowników przez endpointy VPC od połączeń z prywatnymi źródłami danych. Omawia DNS, tożsamość, reguły dostępu i wyjątki wymagające łączności publicznej. AWS opisuje architekturę łączącą Amazon Quick z siecią firmową przez AWS PrivateLink. Quick skupia wyszukiwanie, analitykę, badania i automatyzację. Projekt rozdziela dwie ścieżki: endpointy VPC przenoszą ruch witryny, API, treści osadzonych i aplikacji Desktop, a połączenia VPC obsługują żądania usługi do prywatnych źródeł danych i wewnętrznych API. ### Sieć, endpointy i DNS Poradnik zakłada istniejące połączenie Direct Connect lub Site-to-Site VPN między siecią firmową a VPC. Wymagane są Quick Enterprise, VPC w regionie wdrożenia Quick, dostęp do administracji DNS i odpowiednie uprawnienia IAM. Endpointy VPC witryny Quick nie są dostępne w regionach AWS China oraz AWS GovCloud (US). Witryna i obsługiwane API korzystają z endpointów interfejsowych `com.amazonaws..quicksight-website` oraz `com.amazonaws..quicksight`. Ich interfejsy sieciowe powinny obejmować co najmniej dwie strefy dostępności, z trasami z sieci firmowej i ograniczającymi grupami zabezpieczeń. Witryna wymaga aliasu A dla `.quicksight.aws.amazon.com`. Firmowy DNS musi kierować zapytania do przychodzącego endpointu Route 53 Resolver albo udostępniać równoważny rekord. Prywatny DNS dla API automatycznie przekierowuje istniejące wywołania. Endpoint API ma wyjątki: nie obsługuje ośmiu API konektorów akcji ani GetFlowMetadata, GetFlowPermissions, ListFlows, SearchFlows i UpdateFlowPermissions. Automatyzacja zarządzająca tymi zasobami wymaga publicznego dostępu do API. Administratorzy logujący się przez VPC jako użytkownicy IAM potrzebują także endpointów `console` i `signin`. ### Osobna ścieżka do danych Quick Sight odpytuje prywatne bazy przez interfejsy ENI w VPC. Flows, Automate i Agents mogą wywoływać prywatne konektory akcji, serwery MCP lub wewnętrzne API, a Research korzysta z połączeń VPC dla prywatnych źródeł. Apps dziedziczą łączność po Sight i Flows; Spaces nie inicjują połączeń z danymi. W bazach wiedzy Quick Index połączenia VPC obsługują wyłącznie Redshift. Ograniczenia endpointów dla bucketów S3 stanowią osobny mechanizm. Połączenie VPC wymaga niezmiennego identyfikatora VPC, roli wykonawczej, co najmniej dwóch podsieci w różnych strefach dostępności i grupy zabezpieczeń. Quick nie tworzy roli: musi ona mieć uprawnienia EC2 do ENI oraz relację zaufania z `quicksight.amazonaws.com`. Prywatne resolvery DNS są opcjonalne. ENI podlegają routingowi, sieciowym ACL i grupom zabezpieczeń. Połączenia utworzone przed 27 kwietnia 2023 r. wymagają jawnego dopuszczenia ruchu powrotnego na portach 0–65535. Stan PARTIALLY AVAILABLE nadal pozwala korzystać z połączenia. Prywatne wywołania S3, Redshift, Athena i Secrets Manager wymagają odpowiednich endpointów usług w VPC zawierającej ENI Quick. Athena nie jest źródłem danych połączenia VPC; jej endpoint chroni ruch API. Przeglądarki nadal potrzebują wyjścia do nieobsługiwanych domen zewnętrznych. Logowanie przez IAM Identity Center wymaga publicznych endpointów logowania AWS i Identity Center przez proxy lub NAT, ale klient nie potrzebuje publicznego adresu IP. ### Reguły dostępu i tożsamość Polityki endpointów mogą ograniczać dostęp według konta AWS lub organizacji. Polityki witryny wymagają wartości `*` dla Principal, Action i Resource, a warunki ograniczają się do `aws:PrincipalAccount` lub `aws:OrgId`. Ograniczanie poszczególnych akcji obsługują tylko endpointy API. AWS zaleca dopuszczanie przychodzącego HTTPS wyłącznie z firmowych zakresów CIDR. Ograniczenia Quick przyjmują zakresy IP, identyfikatory VPC lub endpointów, łącznie do 100 reguł. Dopasowanie do któregokolwiek typu zezwala na dostęp. Reguły obejmują witrynę, treści osadzone i dostęp mobilny; publiczne API wymaga warunków IAM `aws:SourceIp` lub `aws:SourceVpce`. Obowiązują między regionami, są zarządzane w regionie utworzenia konta i mogą zacząć działać po dziesięciu minutach. UpdateIpRestriction zastępuje całą mapę reguł. Przed ich egzekwowaniem administrator musi zachować własny dostęp. IAM Identity Center zapewnia uwierzytelnianie SAML 2.0 i provisioning użytkowników oraz grup przez SCIM 2.0. Role Admin, Author i Reader określają podstawowe możliwości. Uprawnienia użytkownika mają pierwszeństwo przed rolą, a roli przed kontem. Spaces dodają podział dostępu według użytkowników i grup. Zabezpieczenia wierszy Sight przypisują tożsamości do dozwolonych wartości pól i obejmują dashboardy oraz pytania AI w języku naturalnym. Zabezpieczenia kolumn ukrywają wskazane kolumny. AWS zaleca sprawdzenie dostępu przed wymuszeniem ograniczeń, Flow Logs dla wybranych ENI oraz monitoring ActiveConnections, BytesProcessed i PacketsDropped w CloudWatch. Wskazuje też kwartalne przeglądy polityk, wykrywanie odchyleń przez AWS Config i osobne połączenia dla środowisk. Zalecenia kosztowe obejmują bezpłatne endpointy bramowe S3, konsolidację rozmieszczenia ENI i porównanie ukierunkowanego proxy z NAT gateway.