AWS opisuje architekturę łączącą Amazon Quick z siecią firmową przez AWS PrivateLink. Quick skupia wyszukiwanie, analitykę, badania i automatyzację. Projekt rozdziela dwie ścieżki: endpointy VPC przenoszą ruch witryny, API, treści osadzonych i aplikacji Desktop, a połączenia VPC obsługują żądania usługi do prywatnych źródeł danych i wewnętrznych API.

Sieć, endpointy i DNS

Poradnik zakłada istniejące połączenie Direct Connect lub Site-to-Site VPN między siecią firmową a VPC. Wymagane są Quick Enterprise, VPC w regionie wdrożenia Quick, dostęp do administracji DNS i odpowiednie uprawnienia IAM. Endpointy VPC witryny Quick nie są dostępne w regionach AWS China oraz AWS GovCloud (US).

Witryna i obsługiwane API korzystają z endpointów interfejsowych com.amazonaws.<region>.quicksight-website oraz com.amazonaws.<region>.quicksight. Ich interfejsy sieciowe powinny obejmować co najmniej dwie strefy dostępności, z trasami z sieci firmowej i ograniczającymi grupami zabezpieczeń. Witryna wymaga aliasu A dla <region>.quicksight.aws.amazon.com. Firmowy DNS musi kierować zapytania do przychodzącego endpointu Route 53 Resolver albo udostępniać równoważny rekord. Prywatny DNS dla API automatycznie przekierowuje istniejące wywołania.

Endpoint API ma wyjątki: nie obsługuje ośmiu API konektorów akcji ani GetFlowMetadata, GetFlowPermissions, ListFlows, SearchFlows i UpdateFlowPermissions. Automatyzacja zarządzająca tymi zasobami wymaga publicznego dostępu do API. Administratorzy logujący się przez VPC jako użytkownicy IAM potrzebują także endpointów console i signin.

Osobna ścieżka do danych

Quick Sight odpytuje prywatne bazy przez interfejsy ENI w VPC. Flows, Automate i Agents mogą wywoływać prywatne konektory akcji, serwery MCP lub wewnętrzne API, a Research korzysta z połączeń VPC dla prywatnych źródeł. Apps dziedziczą łączność po Sight i Flows; Spaces nie inicjują połączeń z danymi. W bazach wiedzy Quick Index połączenia VPC obsługują wyłącznie Redshift. Ograniczenia endpointów dla bucketów S3 stanowią osobny mechanizm.

Połączenie VPC wymaga niezmiennego identyfikatora VPC, roli wykonawczej, co najmniej dwóch podsieci w różnych strefach dostępności i grupy zabezpieczeń. Quick nie tworzy roli: musi ona mieć uprawnienia EC2 do ENI oraz relację zaufania z quicksight.amazonaws.com. Prywatne resolvery DNS są opcjonalne. ENI podlegają routingowi, sieciowym ACL i grupom zabezpieczeń. Połączenia utworzone przed 27 kwietnia 2023 r. wymagają jawnego dopuszczenia ruchu powrotnego na portach 0–65535. Stan PARTIALLY AVAILABLE nadal pozwala korzystać z połączenia.

Prywatne wywołania S3, Redshift, Athena i Secrets Manager wymagają odpowiednich endpointów usług w VPC zawierającej ENI Quick. Athena nie jest źródłem danych połączenia VPC; jej endpoint chroni ruch API. Przeglądarki nadal potrzebują wyjścia do nieobsługiwanych domen zewnętrznych. Logowanie przez IAM Identity Center wymaga publicznych endpointów logowania AWS i Identity Center przez proxy lub NAT, ale klient nie potrzebuje publicznego adresu IP.

Reguły dostępu i tożsamość

Polityki endpointów mogą ograniczać dostęp według konta AWS lub organizacji. Polityki witryny wymagają wartości * dla Principal, Action i Resource, a warunki ograniczają się do aws:PrincipalAccount lub aws:OrgId. Ograniczanie poszczególnych akcji obsługują tylko endpointy API. AWS zaleca dopuszczanie przychodzącego HTTPS wyłącznie z firmowych zakresów CIDR.

Ograniczenia Quick przyjmują zakresy IP, identyfikatory VPC lub endpointów, łącznie do 100 reguł. Dopasowanie do któregokolwiek typu zezwala na dostęp. Reguły obejmują witrynę, treści osadzone i dostęp mobilny; publiczne API wymaga warunków IAM aws:SourceIp lub aws:SourceVpce. Obowiązują między regionami, są zarządzane w regionie utworzenia konta i mogą zacząć działać po dziesięciu minutach. UpdateIpRestriction zastępuje całą mapę reguł. Przed ich egzekwowaniem administrator musi zachować własny dostęp.

IAM Identity Center zapewnia uwierzytelnianie SAML 2.0 i provisioning użytkowników oraz grup przez SCIM 2.0. Role Admin, Author i Reader określają podstawowe możliwości. Uprawnienia użytkownika mają pierwszeństwo przed rolą, a roli przed kontem. Spaces dodają podział dostępu według użytkowników i grup. Zabezpieczenia wierszy Sight przypisują tożsamości do dozwolonych wartości pól i obejmują dashboardy oraz pytania AI w języku naturalnym. Zabezpieczenia kolumn ukrywają wskazane kolumny.

AWS zaleca sprawdzenie dostępu przed wymuszeniem ograniczeń, Flow Logs dla wybranych ENI oraz monitoring ActiveConnections, BytesProcessed i PacketsDropped w CloudWatch. Wskazuje też kwartalne przeglądy polityk, wykrywanie odchyleń przez AWS Config i osobne połączenia dla środowisk. Zalecenia kosztowe obejmują bezpłatne endpointy bramowe S3, konsolidację rozmieszczenia ENI i porównanie ukierunkowanego proxy z NAT gateway.