AWS发布通过PrivateLink私有接入Amazon Quick的配置指南
AWS博客作者Rahul Kulkarni给出在AWS PrivateLink与VPC连接上把本地数据源接入Amazon Quick的步骤：用户与API流量走VPC端点，取数流量走Quick控制台创建的VPC连接，避免经过公网。指南同时列出企业版订阅、区域、DNS、IAM权限等前置条件和若干功能限制。
AI解读：这篇AWS博客是一份配置指南，不是新功能发布公告。它说明如何在已有AWS Direct Connect或Site-to-Site VPN的基础上，用PrivateLink端点承载用户与API流量，用Quick侧VPC连接承载取数流量。
适用对象是使用Amazon Quick Enterprise订阅、且需要让企业防火墙或本地数据中心内数据源被Quick访问的组织。作者给出的动机包括HIPAA、FedRAMP、PCI-DSS等对数据留在受控网络边界内的要求。
限制需要单独看清：Quick网站VPC端点不覆盖AWS中国区和GovCloud（美国）；Quick Index的知识库VPC连接目前只支持Amazon Redshift，Confluence、SharePoint、Box、Google Drive、OneDrive、S3暂不能走Quick VPC连接；API端点不支持 13 个action connector与flow相关API，程序化管理这些对象仍需公网API路径。
作者给出的效果是：Quick与本地数据源之间的流量不经过公网，并称这能减少攻击面、提供稳定低延迟连接和清晰审计轨迹；这些是方案目标，博文未提供延迟或安全指标的实测数据。
AWS机器学习博客发布一篇由Rahul Kulkarni撰写的配置指南，介绍如何在不经过公网的情况下，把企业防火墙内或本地数据中心的数据源接入Amazon Quick。文章假设读者已通过AWS Direct Connect或Site-to-Site VPN将本地环境连到VPC。
指南把Quick的流量分为两类：用户打开控制台、操作仪表盘、调用API或使用Quick Desktop属于面向用户的流量，由PrivateLink提供的VPC端点承载；Quick自身伸入客户网络取数的流量由Quick控制台配置的VPC连接承载，后者会在客户VPC子网中放置弹性网络接口（ENI）。
指南覆盖的功能与限制
文章列出会发起取数连接的Quick功能：Quick Sight直接查询本地PostgreSQL、MySQL、SQL Server、Oracle等数据库，是VPC连接的主要使用方；Flows处理可重复任务，Automate处理多系统编排，二者都会调用动作连接器，包括私有托管的MCP服务器；Quick Agents可直接调用动作连接器；Quick Research访问防火墙后的企业源；Quick应用继承Quick Sight与Flows的VPC连通性；Quick Spaces只组织内容，不发起自己的数据连接。
- Quick网站VPC端点不适用于AWS中国区域和AWS GovCloud（美国）区域。
- Quick Index的知识库VPC连接目前仅支持Amazon Redshift；Confluence、SharePoint、Box、Google Drive、OneDrive和Amazon S3目前不能使用Quick VPC连接。S3桶访问可通过桶策略限制到VPC端点，作者称这是另一套机制。
- API VPC端点不支持 13 个API：8 个动作连接器API（Create、Delete、Describe、DescribePermissions、List、Search、Update、UpdatePermissions）和 5 个flow API（GetFlowMetadata、GetFlowPermissions、ListFlows、SearchFlows、UpdateFlowPermissions）。以程序方式管理这些对象仍需要通往公网API端点的路径。
- 网站端点的策略中，Principal、Action、Resource三个字段都必须设为 *，条件只能基于aws:PrincipalAccount或aws:OrgId；更细的动作级限制只支持在API端点上配置。
前置条件与创建步骤
指南要求：有效的AWS账户与Amazon Quick Enterprise订阅（VPC连接需要企业版）；Quick所在区域内的VPC；受支持的区域；本地网络与VPC之间的Direct Connect或Site-to-Site VPN；创建和管理VPC端点、安全组及Quick管理的IAM权限；组织内对Route 53私有托管区或本地DNS转发器的访问权限。
对于管理员用IAM用户经VPC登录控制台的情况，还需创建AWS Management Console与signin端点。Quick不会自动创建VPC连接的执行角色，需要预先创建信任quicksight.amazonaws.com的IAM角色，并授予创建、删除、修改ENI及查询子网、安全组等EC2权限。
- 用户访问端点服务名为com.amazonaws.<区域>.quicksight-website，需在Route 53私有托管区为 <区域>.quicksight.aws.amazon.com创建指向该端点的A记录，并让本地DNS将查询转发到VPC内的Route 53 Resolver入站端点。
- API端点服务名为com.amazonaws.<区域>.quicksight，合规场景可使用quicksight-fips变体；启用私有DNS后，对quicksight.<区域>.amazonaws.com的调用会自动解析到端点。
- 创建VPC连接需指定不能事后更改的VPC ID、执行角色、至少两个不同可用区的子网、至少一个安全组ID；数据库主机名需私有解析时，可填Route 53 Resolver入站端点IP。
- 连接状态在ENI配置完成前显示UNAVAILABLE，完成后为AVAILABLE；PARTIALLY AVAILABLE表示一个ENI不可用但连接仍可使用。
- 2023 年 4 月 27 日之前创建的VPC连接，其Quick网络接口安全组不是有状态的，需要为数据源安全组显式放行 0–65535 端口的返回流量；此后创建的连接使用标准有状态行为。