用 AWS PrivateLink 为 Amazon Quick 打通企业内网私有访问

当企业数据位于防火墙之后或本地私有数据中心时，AWS 侧并没有直达这些数据的网络路径，而 Amazon Quick 中的 AI 智能体和仪表盘又需要查询各类数据源。AWS 给出的做法是：在已有 AWS Direct Connect 或 AWS Site-to-Site VPN 打通本地环境与 VPC 的基础上，配置由 AWS PrivateLink 支持的 VPC 端点，让 Quick 通过 AWS 骨干网访问私有资源，再叠加安全组和 VPC 端点策略做纵深防御。

两条流量路径

Amazon Quick 的数据访问分为两类。面向用户的流量包括打开 Quick 控制台、操作仪表盘、发起 API 调用或使用 Quick Desktop，这类流量走 VPC 端点，使会话不经过公网。取数流量则是 Quick 主动进入企业网络拉取数据，由 VPC 连接处理，架构上的主要决策集中在这一侧。

会发起取数连接的功能包括：Quick Sight 通过放置在 VPC 中的 ENI 直接查询本地 PostgreSQL、MySQL、SQL Server、Oracle 等数据库，是 VPC 连接的最大消耗方；Quick Flows 与 Quick Automate 分别处理重复性任务和带人工介入的多系统编排，二者都会调用动作连接器，包括托管在 VPC 内的私有 MCP 服务器；Quick Agents 支撑所有对话交互，可直接调用动作连接器；Quick Index 构建跨源统一搜索层，但知识库 VPC 连接目前仅支持 Amazon Redshift，Confluence、SharePoint、Box、Google Drive、OneDrive 和 Amazon S3 暂不能使用 Quick VPC 连接，S3 桶访问可通过桶策略限制到 VPC 端点，属于另一套机制；Quick Research 在访问防火墙后的私有源时使用 VPC 连接；Quick 中的应用继承 Quick Sight 与 Flows 的 VPC 连通性；Quick Spaces 只组织内容，不发起自己的数据连接。

配置前提

需要有效的 AWS 账户和 Amazon Quick Enterprise 订阅（VPC 连接要求企业版）、Quick 部署区域内的现有 VPC、受支持的区域，以及创建和管理 VPC 端点、安全组与 Quick 管理权限的 IAM 权限。创建 VPC 连接还需 quicksight:CreateVPCConnection 等权限。Quick 网站 VPC 端点目前在 AWS 中国区域和 AWS GovCloud (US) 区域不可用。

编辑部观察

这套方案的价值在于把合规要求落到网络层：HIPAA、FedRAMP、PCI-DSS 等框架通常要求敏感数据留在受控边界内，而公网传输会扩大攻击面、增加审计复杂度并带来延迟波动。需要注意的是，VPC 连接并非对所有数据源通用，Quick Index 的知识库连接目前只覆盖 Redshift，规划搜索场景时应先核对支持列表，再决定哪些源走私有路径、哪些依赖桶策略等其他手段。