AWS v návode opisuje, ako pripojiť Amazon Quick k podnikovej sieti pomocou AWS PrivateLink. Quick spája vyhľadávanie, analytiku, výskum a automatizáciu. Architektúra má dve samostatné cesty: VPC endpointy prenášajú prevádzku webu, API, vloženého obsahu a aplikácie Desktop, zatiaľ čo VPC pripojenia zabezpečujú požiadavky služby na súkromné dátové zdroje a interné API.

Sieť, endpointy a DNS

Postup predpokladá existujúce prepojenie podnikovej siete s VPC cez Direct Connect alebo Site-to-Site VPN. Potrebné sú predplatné Quick Enterprise, VPC v regióne nasadenia Quick, správa DNS a príslušné oprávnenia IAM. Webové VPC endpointy Quick nie sú dostupné v regiónoch AWS China a AWS GovCloud (US).

Web a podporované API používajú dva interface endpointy: com.amazonaws.<region>.quicksight-website a com.amazonaws.<region>.quicksight. Ich sieťové rozhrania majú byť aspoň v dvoch zónach dostupnosti, s trasami z podnikovej siete a obmedzujúcimi bezpečnostnými skupinami. Web potrebuje DNS záznam A alias pre <region>.quicksight.aws.amazon.com. Podnikové DNS ho musí vyriešiť cez prichádzajúci endpoint Route 53 Resolver alebo ekvivalentný vlastný záznam. Súkromné DNS pre API presmeruje existujúce volania automaticky.

Pokrytie API má hranice: endpoint nepodporuje osem API pre action connectory ani GetFlowMetadata, GetFlowPermissions, ListFlows, SearchFlows a UpdateFlowPermissions. Automatizácia spravujúca tieto zdroje preto potrebuje verejné API pripojenie. Správcovia prihlasujúci sa ako používatelia IAM cez VPC potrebujú aj endpointy console a signin.

Samostatná cesta k dátam

Quick Sight pristupuje k súkromným databázam cez sieťové rozhrania ENI vo VPC. Flows, Automate a Agents môžu volať súkromné action connectory, servery MCP či interné API; Research používa VPC pripojenia pre súkromné zdroje. Apps preberajú konektivitu zo Sight a Flows, Spaces dátové spojenia neiniciujú. Pri znalostných bázach Quick Index podporujú VPC pripojenia iba Redshift. Obmedzenia cez endpoint pri S3 bucketoch sú samostatný mechanizmus.

VPC pripojenie vyžaduje nemenné ID VPC, vykonávaciu rolu, aspoň dve podsiete v rôznych zónach dostupnosti a bezpečnostnú skupinu. Quick rolu nevytvorí: musí mať oprávnenia EC2 pre ENI a dôverovať quicksight.amazonaws.com. Súkromné DNS resolvery sú voliteľné. Rozhrania podliehajú trasovaniu, sieťovým ACL a bezpečnostným skupinám VPC. Pripojenia vytvorené pred 27. aprílom 2023 vyžadujú explicitný vstup pre spätnú prevádzku na portoch 0–65535. Aj stav PARTIALLY AVAILABLE zostáva použiteľný.

Pre súkromné volania S3, Redshift, Athena a Secrets Manager treba príslušné endpointy vo VPC s rozhraniami Quick. Athena nie je dátový zdroj VPC pripojenia; jej endpoint chráni API prevádzku. Prehliadače stále potrebujú odchádzajúci prístup k nepodporovaným externým doménam. Prihlásenie cez IAM Identity Center vyžaduje verejné prihlasovacie endpointy AWS a Identity Center cez proxy alebo NAT, nie verejnú IP adresu klienta.

Prístupové pravidlá a identita

Politiky endpointov môžu obmedziť prístup podľa účtu AWS alebo organizácie. Pri webovom endpointe musia byť Principal, Action a Resource nastavené na *; podmienky sú obmedzené na aws:PrincipalAccount alebo aws:OrgId. Obmedzenia jednotlivých akcií podporuje iba API endpoint. AWS odporúča povoliť HTTPS vstup len z podnikových CIDR rozsahov.

Obmedzenia Quick prijímajú IP rozsahy, ID VPC alebo endpointov, spolu najviac 100 pravidiel. Zhoda s ktorýmkoľvek typom povoľuje prístup. Pravidlá pokrývajú web, vložený obsah a mobilný prístup; verejné API vyžaduje podmienky IAM aws:SourceIp alebo aws:SourceVpce. Spravujú sa v regióne vytvorenia účtu, platia naprieč regiónmi a účinok môže trvať desať minút. UpdateIpRestriction nahrádza celú mapu pravidiel, preto si správca musí zachovať vlastný prístup.

IAM Identity Center zabezpečuje autentifikáciu SAML 2.0 a provisioning používateľov a skupín cez SCIM 2.0. Roly Admin, Author a Reader určujú základné možnosti. Vlastné oprávnenia používateľa majú prednosť pred rolou a rola pred účtom; Spaces dopĺňajú prístup podľa používateľov a skupín. Riadkové zabezpečenie Sight mapuje identity na povolené hodnoty a platí pre dashboardy aj otázky v prirodzenom jazyku. Stĺpcové zabezpečenie skrýva vybrané stĺpce.

AWS odporúča overiť prístup pred vynútením obmedzení, zapnúť Flow Logs pre vybrané ENI a sledovať ActiveConnections, BytesProcessed a PacketsDropped v CloudWatch. Dopĺňa štvrťročné kontroly politík, detekciu odchýlok cez AWS Config a oddelenie pripojení podľa prostredia. Nákladové odporúčania zahŕňajú bezplatné S3 gateway endpointy, konsolidáciu umiestnenia ENI a porovnanie cielenej proxy s NAT gateway.