AWS beschreibt, wie sich Amazon Quick über AWS PrivateLink mit Unternehmensnetzen verbinden lässt. Quick vereint Suche, Analysen, Recherche und Automatisierung. Die Architektur trennt zwei Wege: VPC-Endpunkte übertragen Website-, API-, Desktop- und eingebetteten Datenverkehr. VPC-Verbindungen dienen serverseitigen Anfragen an private Datenquellen und interne APIs.

Netzwerk und Namensauflösung

Der Leitfaden setzt Direct Connect oder Site-to-Site VPN zwischen Unternehmensnetz und VPC voraus. Benötigt werden Quick Enterprise, eine VPC in der Quick-Bereitstellungsregion, Zugriff auf die DNS-Verwaltung und passende IAM-Berechtigungen. Website-VPC-Endpunkte für Quick sind in AWS China und AWS GovCloud (US) nicht verfügbar.

Website und unterstützte APIs nutzen die Interface-Endpunkte com.amazonaws.<region>.quicksight-website und com.amazonaws.<region>.quicksight. Ihre Netzwerkschnittstellen sollen mindestens zwei Availability Zones abdecken; nötig sind Unternehmensrouten und restriktive Sicherheitsgruppen. Für die Website ist ein A-Alias für <region>.quicksight.aws.amazon.com erforderlich. Unternehmens-DNS muss über einen eingehenden Route-53-Resolver-Endpunkt oder einen gleichwertigen eigenen Eintrag auflösen. Privates API-DNS leitet bestehende API-Aufrufe automatisch um.

Der API-Endpunkt unterstützt jedoch acht Action-Connector-APIs sowie GetFlowMetadata, GetFlowPermissions, ListFlows, SearchFlows und UpdateFlowPermissions nicht. Automatisierungen zur Verwaltung dieser Ressourcen benötigen öffentliche API-Konnektivität. Administratoren, die sich über die VPC als IAM-Nutzer anmelden, brauchen zusätzlich die Endpunkte console und signin.

Verbindungen zu privaten Daten

Quick Sight fragt private Datenbanken über VPC-Netzwerkschnittstellen, sogenannte ENIs, ab. Flows, Automate und Agents können private Action Connectors, MCP-Server oder interne APIs aufrufen. Research nutzt VPC-Verbindungen für private Quellen. Apps übernehmen die Konnektivität von Sight und Flows; Spaces bauen keine Datenverbindungen auf. VPC-Verbindungen für Quick-Index-Wissensbasen unterstützen ausschließlich Redshift. Endpunktbeschränkungen für S3-Buckets sind ein eigener Mechanismus.

Eine VPC-Verbindung benötigt eine unveränderliche VPC-ID, eine Ausführungsrolle, mindestens zwei Subnetze in unterschiedlichen Availability Zones und eine Sicherheitsgruppe. Quick erstellt die Rolle nicht. Sie braucht EC2-Berechtigungen für ENIs und eine Vertrauensbeziehung zu quicksight.amazonaws.com. Private DNS-Resolver sind optional. Routing, Netzwerk-ACLs und Sicherheitsgruppen steuern die ENIs. Vor dem 27. April 2023 erstellte Verbindungen benötigen explizite Eingangsregeln für Rückverkehr auf den Ports 0–65535. PARTIALLY AVAILABLE bleibt nutzbar.

Private Aufrufe von S3, Redshift, Athena und Secrets Manager erfordern die jeweiligen Service-Endpunkte in der VPC der Quick-ENIs. Athena ist keine Datenquelle einer VPC-Verbindung; sein Endpunkt schützt API-Verkehr. Browser benötigen weiterhin ausgehenden Zugriff auf nicht unterstützte externe Domains. Die Browser-Anmeldung über IAM Identity Center braucht öffentliche AWS-Anmelde- und Identity-Center-Endpunkte über Proxy oder NAT; öffentliche Client-IP-Adressen sind nicht erforderlich.

Zugriffsregeln und Identitäten

Endpunktrichtlinien können den Zugriff nach AWS-Konto oder Organisation begrenzen. Bei Website-Richtlinien müssen Principal, Action und Resource jeweils * sein. Bedingungen sind auf aws:PrincipalAccount oder aws:OrgId beschränkt. Nur API-Endpunkte unterstützen Beschränkungen einzelner Aktionen. AWS empfiehlt HTTPS-Eingang ausschließlich aus Unternehmens-CIDRs.

Quick akzeptiert IP-Bereiche, VPC-IDs oder Endpunkt-IDs als Zugriffsbeschränkungen, insgesamt bis zu 100 Regeln. Die Übereinstimmung mit einem Regeltyp erlaubt den Zugriff. Das gilt für Web-, eingebetteten und mobilen Zugriff. Öffentliche APIs benötigen IAM-Bedingungen mit aws:SourceIp oder aws:SourceVpce. Die Regeln gelten regionsübergreifend, werden in der Erstellungsregion des Kontos verwaltet und können zehn Minuten bis zur Anwendung benötigen. UpdateIpRestriction ersetzt die gesamte Regelzuordnung. Administratoren müssen ihren eigenen Zugriff vor der Durchsetzung sichern.

IAM Identity Center bietet SAML-2.0-Authentifizierung und SCIM-2.0-Provisionierung für Nutzer und Gruppen. Admin, Author und Reader bestimmen grundlegende Fähigkeiten. Individuelle Berechtigungen haben Vorrang vor Rollenrechten, diese vor Kontorechten. Spaces ergänzen die Segmentierung nach Nutzern und Gruppen. Zeilensicherheit in Sight ordnet Identitäten erlaubte Feldwerte zu und gilt für Dashboards sowie KI-Fragen in natürlicher Sprache. Spaltensicherheit blendet ausgewählte Spalten aus.

AWS empfiehlt Zugriffstests vor der Durchsetzung, Flow Logs für ausgewählte ENIs und CloudWatch-Überwachung von ActiveConnections, BytesProcessed und PacketsDropped. Hinzu kommen vierteljährliche Richtlinienprüfungen, AWS Config zur Drift-Erkennung und getrennte Verbindungen je Umgebung. Kostenhinweise umfassen kostenlose S3-Gateway-Endpunkte, konsolidierte ENI-Platzierung und den Vergleich gezielter Proxys mit NAT-Gateways.