AWS在技术指南中介绍了企业网络通过AWS PrivateLink访问Amazon Quick的架构。Quick整合搜索、分析、研究与自动化功能。指南的核心是区分两条网络路径：用户侧的网站、API、嵌入内容和Desktop流量通过VPC端点进入服务；服务端访问数据库、Redshift知识库及内部API的请求，则通过VPC连接进入私有数据环境。这两种机制承担不同环节的连接任务。

先明确部署前提与端点范围

该方案以企业网络已经通过Direct Connect或Site-to-Site VPN连接VPC为前提。部署还需要Quick Enterprise订阅、位于Quick部署区域的VPC、DNS管理权限，以及创建端点、安全组和管理Quick所需的IAM权限。对于VPC连接管理员，指南还要求连接生命周期管理权限、EC2查询权限、iam:ListRoles，以及限定到执行角色的iam:PassRole。

用户访问需要在Quick账户所在区域配置网站和API两个接口端点，服务名称分别为com.amazonaws.<region>.quicksight-website与com.amazonaws.<region>.quicksight。端点的弹性网络接口应分布在至少两个可用区，并配置企业网络路由和限制性的安全组。网站VPC端点不适用于AWS中国区域和AWS GovCloud（美国）区域，因此规划时也要核对区域可用性。

DNS是访问路径的一部分。网站需要为<region>.quicksight.aws.amazon.com建立A类型别名记录；企业DNS应将查询转发至Route 53 Resolver入站端点，或提供等效记录。API端点启用私有DNS后，已有API调用会自动转向私有路径。网站记录和API私有DNS分别对应两类入口，指南将其作为独立配置说明。

API端点并未覆盖所有Quick API。排除范围包括八个操作连接器API，以及GetFlowMetadata、GetFlowPermissions、ListFlows、SearchFlows和UpdateFlowPermissions。管理这些资源的自动化仍需公共API连接。指南还列出FIPS服务名称com.amazonaws.<region>.quicksight-fips；以IAM用户身份通过VPC登录的管理员，另外需要console和signin端点。

私有数据访问使用另一套连接

Quick Sight通过VPC内的弹性网络接口查询私有数据库。Flows、Automate和Agents可以调用私有操作连接器、MCP服务器或内部API，Research通过VPC连接访问私有来源。Apps继承Sight和Flows的连接能力，Spaces本身不发起数据连接。由此，判断某项功能的网络需求时，需要对应到实际发起请求的组件。

Quick Index知识库的VPC连接目前只支持Redshift，不包括Confluence、SharePoint、Box、Google Drive、OneDrive或S3。S3存储桶的端点访问限制属于另一种机制。指南将知识库的数据源支持范围与存储桶限制分开说明，不能仅因某个来源出现在Quick中，就认定它使用同一种VPC连接。

创建VPC连接时，需要提供不可修改的VPC ID、执行角色、分属不同可用区的至少两个子网，以及安全组；私有DNS解析器为可选项。Quick不会代为创建执行角色，该角色必须具备管理EC2网络接口所需的权限，并信任quicksight.amazonaws.com。这些接口受所在VPC的路由、网络访问控制列表和安全组约束。

连接状态会从UNAVAILABLE转为AVAILABLE，PARTIALLY AVAILABLE状态仍可使用。对于2023年4月27日之前创建的连接，指南特别要求为返回流量显式开放0至65535端口的入站规则。因此，检查已有连接时，除了当前状态，也要考虑其创建时间及对应的返回流量要求。

若要让Quick对S3、Redshift、Athena和Secrets Manager的调用保持私有，需要在承载Quick网络接口的VPC中配置相应服务端点。Athena本身不是VPC连接的数据源，其端点保护的是API流量。这里的服务端点与Quick用户入口端点、私有数据VPC连接分别对应不同请求环节。

公共连接例外仍需保留

浏览器仍需访问不受支持的外部域名。使用IAM Identity Center进行浏览器身份验证时，也需要通过代理或NAT连接公共AWS登录端点和Identity Center端点。客户端无需拥有公共IP地址，但这并不意味着登录过程完全不依赖公共端点。该要求应与私有网站及数据访问路径一起纳入配置。

网络限制与身份权限分别配置

端点策略可以按AWS账户或组织限制访问。网站端点的Principal、Action和Resource必须均为*，条件仅允许使用aws:PrincipalAccount或aws:OrgId。只有API端点支持按具体操作设置限制。AWS同时建议将端点HTTPS入站来源限定为企业CIDR范围，并让API策略只包含实际需要的操作。

Quick自身的访问限制接受IP范围、VPC ID或端点ID，合计最多一百条规则。匹配任一规则类型即可获准访问。这些规则覆盖网页、嵌入内容和移动访问；如果要限制公共API，则需要IAM中的aws:SourceIp或aws:SourceVpce条件。端点访问规则与公共API权限因此需要分别检查。

访问规则跨区域生效，但在账户创建区域管理，应用变更最长可能需要十分钟。UpdateIpRestriction会替换整个规则映射，管理员更新时需要保留完整的预期规则。指南要求先验证访问，再启用强制限制，并在执行前确保管理员自己的访问路径仍被允许。这些步骤直接关系到规则切换时能否继续管理账户。

身份层使用IAM Identity Center，以SAML 2.0完成身份验证，并通过SCIM 2.0配置用户和群组，支持企业单点登录及临时角色凭证。Admin负责账户管理，Author创建内容和应用，Reader使用获准访问的内容。自定义权限配置可作用于账户、角色或用户，其中用户设置优先于角色，角色优先于账户。

Spaces进一步利用用户和群组划分访问范围，也可使用从身份提供商同步的群组。在数据层，Quick Sight的行级安全通过权限数据集，把用户或群组映射到允许访问的字段值。这些规则使用IAM Identity Center身份，同时约束仪表板查看和AI自然语言查询。列级安全则向指定用户或群组隐藏选定列。

按照指南描述，请求路径同时结合网络入口和身份检查：用户通过VPC端点访问服务，角色、Spaces和数据权限决定其获准使用的内容，服务再通过VPC连接请求私有来源。网络连通、内容授权和数据范围在同一路径上分别发挥作用，配置时需要逐项验证。

验证、监控与成本安排

AWS建议在强制限制前完成访问验证，并为端点和连接的网络接口配置Flow Logs。运行监控包括CloudWatch中的ActiveConnections、BytesProcessed和PacketsDropped。治理建议还包括每季度审查策略、使用AWS Config检测配置偏移，以及按环境拆分连接和安全组。

成本方面，指南建议在适用时使用免费的S3网关端点、整合网络接口的放置位置，并有选择地记录接口日志。对于仍需外部访问的部分，可比较针对性代理与NAT网关的费用。这些建议与前述例外相配套：私有访问方案需要同时明确哪些请求经过端点、哪些访问私有数据，以及哪些登录或API调用仍需公共连接。