Securing Quick access aus Unternehmensnetzwerken mit AWS PrivateLink

Wenn Unternehmensdaten hinter einer Corporate Firewall oder in einem privaten lokalen Rechenzentrum liegen, gibt es keinen direkten Netzwerkpfad von AWS, obwohl die KI-Agenten und Dashboards in Amazon Quick praktisch jede Datenquelle abfragen können. Administratoren müssen sicherstellen, dass ihre sensiblen Unternehmensdaten nicht dem öffentlichen Internet ausgesetzt sind, während sie gleichzeitig für KI-gestützte Erkenntnisse und Aktionen zugänglich bleiben.

Für viele Unternehmen birgt das Routen von Traffic über das öffentliche Internet ein inakzeptables Risiko. Regulatorische Frameworks wie HIPAA, FedRAMP und PCI-DSS schreiben oft vor, dass sensible Daten innerhalb kontrollierter Netzwerkgrenzen bleiben müssen. Selbst wenn Compliance nicht der Hauptgrund ist, vergrößert die Exposition interner Datenpfade die Angriffsfläche, erschwert Audit-Trails und führt zu variabler Latenz, die die Benutzererfahrung beeinträchtigen kann.

Diese Anleitung zeigt Ihnen, wie Sie lokale Datenquellen privat mit Amazon Quick verbinden, ohne dass Traffic das öffentliche Internet durchquert. Sie setzt voraus, dass Sie bereits AWS Direct Connect oder eine AWS Site-to-Site VPN-Verbindung haben, die Ihre lokale Umgebung mit Ihrer Virtual Private Cloud (VPC) verknüpft. Auf dieser Grundlage konfigurieren wir VPC-Endpunkte, die von AWS PrivateLink betrieben werden, damit Quick Ihre privaten Ressourcen über das AWS-Backbone erreichen kann, und fügen dann Sicherheitsgruppen und VPC-Endpunkt-Richtlinien für eine verteidigung in der Tiefe hinzu.

Am Ende haben Sie eine Netzwerkarchitektur, die den Traffic zwischen Quick und Ihren lokalen Datenquellen vom öffentlichen Internet fernhält, die Angriffsfläche reduziert, eine konsistente Low-Latency-Konnektivität bietet und Ihnen einen klaren Audit-Trail für die Compliance liefert.

Amazon Quick und der Aufbau privater Netzwerkverbindungen

Amazon Quick ist ein KI-gestützter Arbeitsbereich, der Suche, Analysen, Recherche und Automatisierung in eine einzige konversationelle Erfahrung zusammenführt. Zu verstehen, welche Komponenten auf Ihr privates Netzwerk zugreifen und wie, bestimmt die Architektur in den folgenden Abschnitten.

Der Datenzugriff in Amazon Quick erfolgt über zwei Pfade. Benutzerorientierter Traffic umfasst alle Personen, die die Quick-Konsole öffnen, mit einem Dashboard interagieren, einen API-Aufruf tätigen oder Quick Desktop verwenden. All dies wird über VPC-Endpunkte geroutet (siehe VPC endpoints for user and API access), um Benutzersitzungen vom öffentlichen Internet fernzuhalten.

Datenabruf-Traffic liegt vor, wenn Quick selbst in Ihr Netzwerk greift, um Daten abzurufen. Dies wird durch VPC-Verbindungen gehandhabt (siehe VPC connections for data source access), und hier liegen die meisten architektonischen Entscheidungen. Die Funktionen und Integrationen, die Datenabrufverbindungen initiieren, sind:

• Amazon Quick Sight fragt lokale Datenbanken (PostgreSQL, MySQL, SQL Server, Oracle und andere) direkt über ENIs ab, die in Ihrer VPC platziert sind. Dies ist der stärkste Nutzer von VPC-Verbindungen.
• Amazon Quick Flows und Amazon Quick Automate sind separate Automatisierungsfunktionen. Flows behandeln wiederholbare Aufgaben. Automate übernimmt komplexe, mehrsystemige Orchestrierung mit Human-in-the-Loop. Beide rufen Action-Konnektoren auf, einschließlich MCP-Servern, die privat in Ihrer VPC gehostet werden. Jeder Workflow, der eine interne API aufruft, läuft über diesen Pfad.
• Quick Agents bilden die Grundlage aller konversationellen Interaktionen und können Action-Konnektoren direkt aufrufen. Wenn ein benutzerdefinierter Agent einen privat gehosteten MCP-Server oder eine interne API aufruft, fließt der Traffic durch die VPC-Verbindung.
• Amazon Quick Index baut eine einheitliche Suchschicht über verbundene Quellen wie Confluence, SharePoint und Amazon Simple Storage Service (Amazon S3). Für Daten in Ihrer VPC oder lokal werden Wissensbasis-VPC-Verbindungen derzeit nur für Amazon Redshift unterstützt. Quellen wie Confluence, SharePoint, Box, Google Drive, OneDrive und Amazon S3 können heute keine Quick-VPC-Verbindung nutzen (siehe Supported VPC data sources). Sie können den Zugriff auf Amazon-S3-Buckets dennoch über eine Bucket-Richtlinie auf einen VPC-Endpunkt beschränken, was ein separater Mechanismus ist.
• Amazon Quick Research greift für seine mit Quellenangaben versehenen Berichte auf Unternehmensquellen hinter der Firewall sowie auf öffentliche Internetdaten zu und nutzt dabei die VPC-Verbindung, um private Quellen zu erreichen.
• Apps in Quick bauen interaktive Webanwendungen auf strukturierten Daten und Action-Konnektoren auf und erben dieselbe VPC-Konnektivität wie Quick Sight und Flows.
• Quick Spaces organisieren Inhalte aus den vorherigen Funktionen, initiieren aber keine eigenen Datenverbindungen.

Diese beiden Traffic-Pfade erfordern zwei unterschiedliche Mechanismen für private Konnektivität, die zusammenarbeiten:

• VPC-Endpunkte (AWS PrivateLink): Benutzerorientierten Traffic verarbeiten, wie z. B. den Zugriff auf die Quick-Website, API-Aufrufe und administrativen Zugriff. Diese Verbindungen halten Benutzertraffic vom öffentlichen Internet fern.
• VPC-Verbindungen: Datenquellen-Traffic verarbeiten. Amazon Quick greift auf Ihre VPC zu (und damit auch auf Ihr lokales Netzwerk), um Daten aus Datenbanken, Amazon-Redshift-Wissensbasen-Quellen und internen APIs abzurufen. Diese werden innerhalb der Quick-Konsole konfiguriert.

Private Konnektivität konfigurieren

Dieser Abschnitt führt der Reihe nach durch die vier Bausteine: VPC-Endpunkte für Benutzer- und API-Zugriff, VPC-Verbindungen für den Datenquellenzugriff, VPC-Endpunkte für AWS-Datendienste und ausgehenden Zugriff auf erforderliche externe Domänen.

Voraussetzungen

Bevor Sie private Konnektivität für Quick konfigurieren, stellen Sie sicher, dass Folgendes vorhanden ist:

• Ein aktives AWS-Konto mit einem Amazon Quick Enterprise-Abonnement (VPC-Verbindungen erfordern die Enterprise Edition).
• Ein vorhandenes VPC in der AWS-Region, in der Quick bereitgestellt ist.
• Eine unterstützte AWS-Region. Quick-Website-VPC-Endpunkte sind in den AWS China-Regionen oder den AWS GovCloud (US)-Regionen nicht verfügbar.
• Eine AWS Direct Connect-Verbindung oder ein Site-to-Site-VPN, das zwischen Ihrem On-Premises-Netzwerk und Ihrem VPC eingerichtet ist. Dies ist der private Pfad, über den Datenverkehr von Ihrem Rechenzentrum nach AWS gelangt.
• AWS Identity and Access Management (IAM)-Berechtigungen zum Erstellen und Verwalten von VPC-Endpunkten, Sicherheitsgruppen und der Quick-Verwaltung. Zum Erstellen von VPC-Verbindungen benötigt die IAM-Identität des Administrators außerdem quicksight:CreateVPCConnection, quicksight:DescribeVPCConnection, quicksight:ListVPCConnections, quicksight:UpdateVPCConnection, quicksight:DeleteVPCConnection, ec2:DescribeSubnets, ec2:DescribeVpcs, ec2:DescribeSecurityGroups, iam:ListRoles, und iam:PassRole , beschränkt auf die VPC-Verbindungs-Ausführungsrolle.
• Zugriff auf das DNS-Management Ihrer Organisation (Route 53 private hosted zones oder On-Premises-DNS-Forwarder), da die private DNS-Auflösung Datenverkehr über VPC-Endpunkte statt über öffentliche Adressen leitet.

VPC-Endpunkte für Benutzer- und API-Zugriff (AWS PrivateLink)

VPC-Endpunkte, die auf PrivateLink basieren, verarbeiten den gesamten benutzergerichteten Datenverkehr zu Amazon Quick, einschließlich der Website, API-Aufrufe und eingebetteter Inhalte. Sie verhindern, dass Benutzer das öffentliche Internet durchqueren müssen, um auf die Amazon Quick-Konsole zuzugreifen.

Abbildung 1: Privater Zugriff auf Amazon Quick aus einem Unternehmens-Rechenzentrum über einen VPC-Endpunkt

Wie in Abbildung 1 dargestellt: (1) ein Client im Unternehmensnetzwerk sendet eine Anfrage an Quick; (2) die Anfrage läuft über AWS Direct Connect, durch das Direct Connect-Gateway, in Ihr VPC; (3) der Quick-VPC-Endpunkt wertet die Endpunkt-Richtlinie aus und erlaubt oder verweigert die Anfrage; (4) erlaubte Anfragen erreichen Amazon Quick über das AWS-Netzwerk.

Planung Ihrer VPC-Endpunkt-Architektur

Beginnen Sie bei der Planung Ihrer Endpunkt-Architektur damit, die AWS-Region zu ermitteln, in der Ihr Quick-Konto bereitgestellt ist, da sich VPC-Endpunkte in derselben Region befinden müssen. Wählen Sie Subnetze über mehrere Availability Zones hinweg für die Platzierung der Endpunkt-ENIs und stellen Sie sicher, dass diese Subnetze Routen zu Ihrem On-Premises-Netzwerk über Direct Connect oder VPN haben.

Entwerfen Sie Sicherheitsgruppen, die den Datenverkehr auf den Endpunkt-ENIs auf nur die erforderlichen Ports und Quellbereiche beschränken. Wenn der gesamte Datenverkehr privat geroutet werden soll (einschließlich der Aufrufe, die Amazon Quick an Amazon S3, Amazon Redshift und Amazon Athena richtet), planen Sie auch VPC-Endpunkte für diese Dienste (siehe Configuring data source VPC endpoints).

Erstellen von VPC-Endpunkten für Quick

Quick benötigt zwei Interface-VPC-Endpunkte für vollständigen privaten Zugriff:

• Website-Zugriffsendpunkt – Servicename com.amazonaws.<region>.quicksight-website. Dieser verarbeitet den Großteil des Benutzerverkehrs zur Quick-Konsole. Private DNS-Namen für die Quick-Website unterscheiden sich von der öffentlichen URL, daher müssen Sie einen A-Record für <region>.quicksight.aws.amazon.com erstellen, der auf den VPC-Endpunkt zeigt.
• API-Zugriffsendpunkt – Servicename com.amazonaws.<region>.quicksight. Dieser verarbeitet programmatische API-Aufrufe. Wenn privates DNS aktiviert ist, werden vorhandene API-Aufrufe an quicksight.<region>.amazonaws.com automatisch über den VPC-Endpunkt geleitet, ohne zusätzliche DNS-Konfiguration. Für FIPS-Konformität verwenden Sie com.amazonaws.<region>.quicksight-fips.

Hinweis: Nicht jede Quick-API ist über den API-VPC-Endpunkt verfügbar. Die folgenden 13 APIs werden nicht unterstützt: die Action-Connector-APIs (CreateActionConnector, DeleteActionConnector, DescribeActionConnector, DescribeActionConnectorPermissions, ListActionConnectors, SearchActionConnectors, UpdateActionConnector, UpdateActionConnectorPermissions) und die Flow-APIs (GetFlowMetadata, GetFlowPermissions, ListFlows, SearchFlows, UpdateFlowPermissions). Automatisierungen, die Action-Connectors oder Flows programmatisch verwalten, benötigen einen Pfad zum öffentlichen API-Endpunkt. Siehe Quick und Interface-VPC-Endpunkte.

Wenn sich Administratoren über das VPC als IAM-Benutzer bei Amazon Quick anmelden, erstellen Sie zusätzlich die AWS Management Console-Endpunkte:

• com.amazonaws.<region>.console.
• com.amazonaws.<region>.signin.

So erstellen Sie den Website-Endpunkt in der Amazon Virtual Private Cloud (Amazon VPC)-Konsole:

1. Öffnen Sie die Amazon VPC-Konsole. Wählen Sie im Navigationsbereich unter PrivateLink und Lattice, wählen Sie Endpoints, und wählen Sie dann Create endpoint.
2. Geben Sie ein Name tag ein (zum Beispiel my-quicksight-vpc-endpoint) und wählen Sie bei Typedie Option AWS services.
3. Suchen Sie unter Servicesnach com.amazonaws.<region>.quicksight und wählen Sie es aus com.amazonaws.<region>.quicksight-website (Abbildung 2).

Abbildung 2: Benennen des Endpunkts und Auswählen des Quick-Website-Endpunktdienstes

1. Wählen Sie unter Network settingsIhre VPC aus. Behalten Sie unter Additional settingsdie Auswahl Enable private DNS name bei.
2. Wählen Sie Subnetze in mindestens zwei Availability Zones aus und wählen Sie dann die Sicherheitsgruppe für die Endpoint-ENIs aus (Abbildung 3).

Abbildung 3: Auswählen der VPC, des privaten DNS, der Subnetze und der Sicherheitsgruppe für den Endpunkt

1. Wählen Sie eine Policy aus (siehe den folgenden Abschnitt Setting up VPC endpoint policies), fügen Sie Tags hinzu und wählen Sie Create endpoint aus (Abbildung 4).

Abbildung 4: Auswählen der Endpunkt-Richtlinie und Erstellen des Endpunkts

1. Wiederholen Sie diese Schritte für den API-Endpunkt, com.amazonaws.<region>.quicksight.

Konfiguration der DNS-Auflösung

Erstellen Sie für den Website-Endpunkt einen A-Record für <region>.quicksight.aws.amazon.com und verweisen Sie ihn auf den DNS-Namen des VPC-Endpunkts. Auf diese Weise wird, wenn Benutzer in Ihrem Unternehmensnetzwerk die Quick-URL auflösen, der Datenverkehr über den privaten Endpunkt statt über das öffentliche Internet geleitet. Für den API-Endpunkt genügt es, privates DNS auf dem VPC-Endpunkt zu aktivieren, da API-Aufrufe automatisch zu den privaten IP-Adressen des Endpunkts aufgelöst werden.

Eine private gehostete Zone in Route 53 beantwortet nur Abfragen aus den mit ihr verknüpften VPCs. Da Ihre Benutzer sich aus dem Unternehmensnetzwerk verbinden, konfigurieren Sie Ihre lokalen DNS-Server so, dass Abfragen für <region>.quicksight.aws.amazon.com an einen Route 53 Resolver Inbound Endpoint im VPC weitergeleitet werden (oder hosten Sie einen gleichwertigen Record in Ihrem lokalen DNS). Validieren Sie abschließend die DNS-Auflösung aus Ihrem Unternehmensnetzwerk, um zu bestätigen, dass Anfragen zu privaten IPs innerhalb Ihres VPC statt zu öffentlichen Adressen aufgelöst werden.

So erstellen Sie den Record in Route 53:

1. Wählen Sie in der Route 53 Konsole Hosted zonesund dann Create hosted zone.
2. Geben Sie unter Domain nameein <region>.quicksight.aws.amazon.com (zum Beispiel us-east-1.quicksight.aws.amazon.com) ein. Die Begrenzung der Zone auf Ihre Region vermeidet das Überschreiben anderer Quick-Hostnamen. Wählen Sie Private hosted zone, verknüpfen Sie Ihren VPC und wählen Sie Create hosted zone (Abbildung 5).

Abbildung 5: Erstellen einer privaten gehosteten Zone in Amazon Route 53

1. Wählen Sie in der neuen gehosteten Zone Create record (Abbildung 6).

Abbildung 6: Erstellen eines Records in der neuen privaten gehosteten Zone

1. Lassen Sie Record name leer, wählen Sie als Record-Typ A, aktivieren Sie Aliasund wählen Sie Alias to VPC endpoint, wählen Sie Ihre Region und den DNS-Namen des Website-Endpunkts aus und wählen Sie Create records (Abbildung 7).

Abbildung 7: Erstellen eines Alias-A-Eintrags, der auf den Quick-Website-VPC-Endpunkt verweist

Einrichten von VPC-Endpunkt-Richtlinien

VPC-Endpunkt-Richtlinien beschränken, welche Konten oder Organisationen den Endpunkt verwenden dürfen. Bei Quick können Richtlinien nach AWS-Konto-ID oder Organization ID abgegrenzt werden. Um eine Richtlinie zu ändern, öffnen Sie den Endpunkt in der Amazon-VPC-Konsole, wählen den Tab Policy und wählen dann Edit Policy (Abbildung 8).

Wichtige Einschränkung: Für den Quick-Website-Endpunkt müssen die Felder Principal, Actionsowie Resource alle auf *gesetzt sein. Bedingungen können nur gegen die Attribute aws:PrincipalAccount oder aws:OrgId angegeben werden. Restriktivere Richtlinien auf Aktionsebene werden nur am API-Endpunkt unterstützt.

Beispiel für eine Website-Endpunkt-Richtlinie:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalAccount": ["012345678901"]
                }
            }
        }
    ]
}

Abbildung 8: Öffnen der Endpunkt-Richtlinie von der Detailseite des VPC-Endpunkts

Beispiel für eine API-Endpunkt-Richtlinie (beschränkt auf bestimmte Aktionen):

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "quicksight:DescribeUser",
                "quicksight:ListUsers"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalAccount": ["012345678901"]
                }
            }
        }
    ]
}

Abbildung 9: Bearbeiten einer benutzerdefinierten VPC-Endpunkt-Richtlinie

VPC-Verbindungen für den Datenquellenzugriff

Während VPC-Endpunkte den benutzergerichteten Datenverkehr abwickeln, übernehmen VPC-Verbindungen den serverseitigen Pfad, d. h. Amazon Quick greift in Ihre VPC, um auf Datenbanken, Amazon-Redshift-Wissensbasen-Quellen und interne APIs zuzugreifen.

Wie VPC-Verbindungen funktionieren

Amazon Quick Enterprise Edition ist vollständig in Amazon VPC integriert. Wenn Sie eine VPC-Verbindung in Amazon Quick erstellen, fügen Sie elastische Netzwerkschnittstellen (ENIs) in Ihre VPC-Subnetze ein. Diese ENIs ermöglichen Quick den Austausch von Netzwerkverkehr mit Ressourcen innerhalb Ihrer VPC und damit auch mit allem, was von dieser VPC aus erreichbar ist, einschließlich On-Premises-Systemen, die über Direct Connect oder VPN angebunden sind.

Alle standardmäßigen VPC-Sicherheitskontrollen gelten für diesen Datenverkehr. Routing-Tabellen, Netzwerk-ACLs, Subnetze und Sicherheitsgruppen steuern den Datenverkehr zu und von Quick auf dieselbe Weise, wie sie den Datenverkehr zwischen beliebigen anderen Instanzen in Ihrer VPC steuern. Das bedeutet, dass Sie eine Verbindung herstellen können zu:

• Privaten Datenbanken, die nicht dem öffentlichen Internet ausgesetzt sind.
• On-Premises-Datenquellen, die über Direct Connect oder VPN erreichbar sind.
• Internes APIs, die in Ihrem Netzwerk per IP-Adresse zugänglich sind.

Erstellen Sie eine dedizierte Sicherheitsgruppe (zum Beispiel QuickSight-VPC) für die ENIs der VPC-Verbindung. Erlauben Sie in der Sicherheitsgruppe jeder Datenquelle eingehenden Datenverkehr am Datenbankport von dieser Sicherheitsgruppen-ID.

Hinweis zu VPC-Verbindungen, die vor dem 27. April 2023 erstellt wurden: Die Sicherheitsgruppe, die der Quick-Netzwerkschnittstelle zugewiesen ist, ist nicht zustandsbehaftet (stateful). Sie müssen eine eingehende Regel hinzufügen, die den Rückverkehr von der Sicherheitsgruppe Ihrer Datenquelle auf allen Ports (0–65535) ausdrücklich erlaubt, da Rückpakete zufällig zugewiesene Zielports verwenden. Verbindungen, die nach diesem Datum erstellt wurden, verwenden das standardmäßige zustandsbehaftete Verhalten. Siehe Sicherheitsgruppen: eingehende und ausgehende Regeln.

Erstellen der Ausführungsrolle

Amazon Quick erstellt die Ausführungsrolle für die VPC-Verbindung nicht für Sie. Bevor Sie die Verbindung hinzufügen, erstellen Sie eine dedizierte IAM-Rolle (empfohlen) oder aktualisieren Sie eine bestehende Rolle, der Quick bereits vertraut, wie zum Beispiel aws-quicksight-service-role-v0 , die in den Screenshots in diesem Beitrag verwendet wurde. Die Rolle benötigt:

• Eine Berechtigungsrichtlinie, die den Aktionen von Amazon Elastic Compute Cloud (Amazon EC2), die Quick zur Verwaltung seiner ENIs verwendet, Zugriff gewährt (Abbildung 10).
• Eine Vertrauensrichtlinie, die es quicksight.amazonaws.com ermöglicht, die Rolle anzunehmen. Nur Rollen mit dieser Vertrauensrichtlinie erscheinen in der Execution role -Liste in der Quick-Konsole.

Berechtigungsrichtlinie:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateNetworkInterface",
                "ec2:DeleteNetworkInterface",
                "ec2:ModifyNetworkInterfaceAttribute",
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups"
            ],
            "Resource": "*"
        }
    ]
}

Abbildung 10: Hinzufügen der von der Ausführungsrolle der VPC-Verbindung benötigten Amazon EC2-Berechtigungen

Vertrauensrichtlinie:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": { "Service": "quicksight.amazonaws.com" },
            "Action": "sts:AssumeRole"
        }
    ]
}

Konfigurieren einer VPC-Verbindung

So erstellen Sie eine VPC-Verbindung in der Quick-Konsole:

1. Melden Sie sich als Administrator bei Amazon Quick an. Wählen Sie Ihr Profilsymbol oben rechts und dann Konto verwalten (Abbildung 11). Wenn Sie diese Option nicht sehen, sind Sie kein Quick-Administrator.

Abbildung 11: „Konto verwalten“ über das Schnellprofil-Menü öffnen

1. Wählen Sie im Navigationsbereich unter Sicherheit, wählen Sie VPC-Verbindungen verwalten (Abbildung 12), und wählen Sie dann VPC-Verbindung hinzufügen.

Abbildung 12: VPC-Verbindungen verwalten unter Sicherheit auf der Seite Konto verwalten

1. Geben Sie Folgendes an (Abbildung 13):
   1. Einen aussagekräftigen VPC-Verbindungsnamen.
   2. Die VPC-ID der Ziel-VPC. Dies kann später nicht mehr geändert werden.
   3. Die Ausführungsrolle , die Sie im vorherigen Schritt erstellt haben.
   4. Mindestens zwei Subnetze in unterschiedlichen Availability Zones.
   5. Mindestens eine Sicherheitsgruppen -ID.
   6. (Optional) Wenn der Hostname Ihrer Datenbank über privates DNS aufgelöst werden muss, geben Sie die IP-Adressen Ihrer Route 53 Resolver Inbound-Endpunkte unter DNS-Resolver-Endpunkte.
2. Auswählen HINZUFÜGEN.

Abbildung 13: Hinzufügen einer VPC-Verbindung in der Quick-Konsole

Der Verbindungsstatus zeigt UNAVAILABLE , bis Quick die Bereitstellung der ENIs abgeschlossen hat, und wechselt dann zu AVAILABLE. Ein Status von PARTIALLY AVAILABLE bedeutet, dass eines der ENIs nicht verfügbar ist, aber die Verbindung dennoch genutzt werden kann.

Konfigurieren von VPC-Endpunkten für Datenquellen

VPC-Endpunkte (PrivateLink, hier für AWS-Service-APIs verwendet) und VPC-Verbindungen (Quick-ENIs in Ihrer VPC; siehe VPC connections for data source access) sind unterschiedliche Mechanismen. Quick greift auf andere AWS-Services (Amazon S3, Amazon Redshift, Amazon Athena, AWS Secrets Manager) zu, wenn Daten für Dashboards und Analysen abgerufen werden. Wenn der gesamte Datenverkehr privat bleiben soll, einschließlich der Aufrufe, die Amazon Quick an diese AWS-Services richtet, erstellen Sie Interface- oder Gateway-VPC-Endpunkte für jeden der folgenden:

* Athena wird als VPC-Verbindungsdatenquelle nicht unterstützt. Der Athena-Endpunkt hält den Athena-API-Traffic ausschließlich auf AWS PrivateLink.

Erstellen Sie diese Endpunkte in derselben VPC, in der sich die Amazon Quick ENIs befinden. Stellen Sie sicher, dass Routentabellen und Sicherheitsgruppen den Traffic zwischen den Amazon-Quick-Subnetzen und den Endpunkt-Subnetzen zulassen.

Aktivieren des Zugriffs auf erforderliche externe Domains

Während der Datenverkehr zwischen Quick und Ihren On-Premises-Quellen im privaten Netzwerk bleibt, müssen die Browser der Benutzer dennoch eine Reihe von Domains für Anmeldung, statische Assets, clientseitige Metriken und Integrationen erreichen. Selbst wenn VPC-Endpunkte konfiguriert sind, benötigen Domains ohne VPC-Endpunkt-Unterstützung ausgehende Konnektivität, typischerweise über Ihren Corporate-Proxy oder Ihre Firewall. Wenn Ihr Konto IAM Identity Center verwendet, erfordert die Browser-Anmeldung zusätzlich die öffentlichen AWS-Anmelde- und IAM-Identity-Center-Endpunkte (siehe Secure user access and identity federation).

Erforderliche externe Domains

Quelle: Von Quick aufgerufene Domains.

Konfigurationshinweise:

• Für Domains mit VPC-Endpunkt-Unterstützung (die Quick-Website und API, signin.aws.amazon.com, und Amazon S3) erstellen Sie die entsprechenden VPC-Endpunkte und DNS-Einträge.
• Für Domains ohne VPC-Endpoint-Unterstützung lassen Sie diese über Ihren unternehmerischen Internet-Ausgang zu (ausgehenden Proxy oder Firewall). Wenn der Benutzerverkehr über Ihre VPC ausgeleitet wird, verwenden Sie ein NAT-Gateway in einem öffentlichen Subnetz.
• Wenn Ihre Sicherheitsanforderungen eine Filterung auf URL-Ebene erfordern, verwenden Sie einen ausgehenden Proxy oder AWS Network Firewall Domain-Filterregeln, um nur die zuvor aufgeführten Domains zuzulassen.
• Testen Sie von einer Firmen-Workstation (oder einer Instanz im selben Ausgangspfad): nslookup und curl gegen jede Domain, um DNS-Auflösung und Routing zu bestätigen.

Durchsetzen von VPC-Endpoint-Einschränkungen

Nachdem Ihre Endpunkte konfiguriert und getestet wurden, können Sie erzwingen, dass jeder Zugriff auf Ihr Quick-Konto über den VPC-Endpunkt erfolgen muss, wodurch der allgemeine Internetzugriff vollständig blockiert wird. Dadurch können Nutzer Quick nur aus Ihrem Unternehmensnetzwerk über den von Ihnen eingerichteten privaten Pfad erreichen.

Quick stellt IP- und VPC-Endpunkt-Beschränkungssteuerungen bereit, die den Kontozugriff auf eine vordefinierte Liste von IP-Bereichen, VPC-IDs oder VPC-Endpunkt-IDs beschränken. Sie können beispielsweise eine Regel erstellen, die den Zugriff nur über den VPC-Endpunkt erlaubt, der für Direct Connect verwendet wird, sodass jeder Versuch, aus dem öffentlichen Internet auf Quick zuzugreifen, abgelehnt wird.

So konfigurieren Sie es über die Quick-Konsole (nur Administratoren, die mit IAM-Anmeldedaten angemeldet sind, können auf die Beschränkungsseite zugreifen):

1. Wählen Sie Ihr Profilsymbol und dann Konto verwalten. Wählen Sie unter Sicherheitdie Option IP/VPC-Beschränkungen verwalten.
2. Geben Sie im Feld Beschränkung die VPC-Endpunkt-ID ein (zum Beispiel, vpce-001122def), geben Sie eine Beschreibungein und wählen Sie Hinzufügen (Abbildung 14).
3. Wählen Sie Änderungen speichern um die Regel anzuwenden.
4. Aktivieren Sie Beschränkungen erzwingen.

Abbildung 14: Hinzufügen einer VPC-Endpunkt-Regel auf der Seite für IP- und VPC-Endpunkt-Beschränkungen

Alternativ können Sie die Konfiguration über die AWS Command Line Interface (AWS CLI) vornehmen:

aws quicksight update-ip-restriction \
--aws-account-id ACCOUNT_ID \
--region REGION \
--enabled \
--vpc-endpoint-id-restriction-rule-map \
vpce-001122def=CorporateVpcEndpoint

Hinweis: UpdateIpRestriction ersetzt die gesamte Regelzuordnung. Rufen Sie Ihre aktuellen Regeln mit aws quicksight describe-ip-restriction ab und nehmen Sie alle vorhandenen Regeln in die Aktualisierung auf.

Wichtige Hinweise:

• IP- und VPC-Endpunkt-Regeln gelten für den Quick-Web-, eingebetteten und mobilen Zugriff, das heißt, sie beschränken den Zugriff auf die öffentliche API nicht. Um API-Aufrufe aus bestimmten Quellen zu beschränken, verwenden Sie IAM-Richtlinien mit aws:SourceIp oder aws:SourceVpce -Bedingungen.
• Stellen Sie sicher, dass Ihre eigene IP oder Ihr VPC-Endpunkt in den Regeln enthalten ist, bevor Sie Beschränkungen aktivieren, da Sie sich sonst selbst aussperren.
• Bis zum vollen Wirksamwerden von Regeln kann es bis zu 10 Minuten dauern.
• Sie können IP-Regeln und VPC-Endpunkt-Regeln kombinieren, sodass Datenverkehr zulässig ist, wenn er eine der beiden Regeltypen erfüllt. Sie können insgesamt bis zu 100 IP- und VPC-Endpunkt-Regeln hinzufügen.
• IP- und VPC-Endpunkt-Regeln werden für Ihr Konto in allen AWS-Regionen durchgesetzt, Sie können sie jedoch nur in der AWS-Region hinzufügen oder verwalten, in der Ihr Quick-Konto erstellt wurde.
• Wenn Sie öffentlich eingebettete Dashboards haben, sind diese nach Aktivierung der Beschränkungen nur noch über den VPC-Endpunkt zugänglich.

Nachdem Sie die Beschränkungen durchgesetzt haben, kann Ihr Quick-Konto nur noch von Datenverkehr erreicht werden, der über den angegebenen VPC-Endpunkt (oder zulässige IP-Bereiche) eingeht. Jeder andere Zugriff wird verweigert.

Sicherer Benutzerzugriff und Identitätsföderation

Private Netzwerk-Konnektivität hält den Datenverkehr vom öffentlichen Internet fern, beantwortet aber nicht die Frage, wer worin innerhalb von Quick zugreifen kann. Dieser Abschnitt behandelt, wie Sie Ihren unternehmenseigenen Identitätsanbieter integrieren, die Benutzerbereitstellung steuern und eine feingranulare Zugriffssegmentierung über Quick-Komponenten hinweg durchsetzen.

Integration mit AWS IAM Identity Center

Wichtig: Für Quick-Konten, die mit IAM Identity Center integriert sind, erfordert die browserbasierte Authentifizierung Zugriff auf die öffentlichen AWS-Anmelde- und IAM Identity Center-Endpunkte. VPC-Endpunkte stellen diesen Browser-Anmeldepfad nicht bereit. Öffentliche IP-Adressen sind nicht erforderlich. Stellen Sie ausgehende Konnektivität über ein NAT-Gateway oder einen Proxy bereit. Siehe Überlegungen zum privaten Zugriff im IAM Identity Center User Guide.

Amazon Quick nutzt AWS IAM Identity Center als zentralen Punkt für die Verwaltung von Mitarbeiteridentitäten. IAM Identity Center verbindet sich über SAML 2.0 für die Authentifizierung und SCIM 2.0 für die automatische Bereitstellung von Benutzern und Gruppen mit Ihrem bestehenden unternehmenseigenen Identitätsanbieter (IdP). Dies bietet:

• Automatische Bereitstellung und Aufhebung der Bereitstellung von Benutzern, synchronisiert mit Ihrem IdP.
• Synchronisierung der Gruppenmitgliedschaft – wenn ein Benutzer zu einer Gruppe hinzugefügt oder daraus entfernt wird, wird diese Änderung an Quick weitergegeben.
• Single Sign-On (SSO) mit bestehenden Unternehmensanmeldeinformationen.
• Temporäre Anmeldeinformationen über angenommene IAM-Rollen – keine langlebigen Quick-spezifischen Passwörter.

Eine Schritt-für-Schritt-Anleitung zum Einrichten von IAM Identity Center mit Ihrem Identitätsanbieter finden Sie unter Erste Schritte mit IAM Identity Center.

Rollenbasierter Zugriff in Quick

Quick unterstützt drei Basisrollen, die bestimmen, was ein Benutzer tun kann:

• Admin – Voller Verwaltungszugriff, einschließlich Konfiguration von Datenquellen, VPC-Verbindungen, Sicherheitseinstellungen, Benutzerverwaltung und Kauf von SPICE-Kapazität.
• Author – Kann Dashboards erstellen und veröffentlichen, Agents bauen, Spaces konfigurieren, Datenquellen verwalten, Flows erstellen und Apps bauen.
• Reader – Kann veröffentlichte Dashboards anzeigen, mit Agents interagieren, Spaces nutzen, für die ihm Zugriff gewährt wurde, und Quick Research-Berichte abrufen.

Diese Rollen werden IAM-Rollen zugeordnet, die föderierte Benutzer bei der Anmeldung annehmen. Durch die Verwaltung der Rollenzuweisung in Ihrem IdP pflegen Sie eine einzige zentrale Quelle dafür, wer über welche Zugriffsstufe verfügt.

Zusätzlich unterstützt Quick benutzerdefinierte Berechtigungsprofile, die die Standardrollenberechtigungen auf Konto-, Rollen- oder Benutzerebene überschreiben können. Berechtigungen auf Benutzerebene überschreiben die Rollenebene, welche wiederum die Kontoebene überschreibt. Dies gibt Administratoren eine granulare Kontrolle über die drei Basisrollen hinaus.

Benutzersegmentierung mit Spaces

Quick Spaces bieten eine zusätzliche Ebene der Zugriffssegmentierung über Rollen hinaus. Jeder Space kann mit spezifischen Benutzer- und Gruppenberechtigungen konfiguriert werden, was bedeutet:

• Ein Finance-Team-Space mit sensiblen Umsatz-Dashboards und Finanz-Wissensbasen ist nur für die Finance-Gruppe zugänglich.
• Ein Sales-Team-Space mit CRM-verbundenen Agents und Pipeline-Dashboards ist auf Vertriebsbenutzer beschränkt.
• Funktionsübergreifende Spaces können mit entsprechenden Berechtigungen über mehrere Gruppen hinweg geteilt werden.

Der Zugriff auf Space-Ebene wird über die Gruppen gesteuert, die von Ihrem Identitätsanbieter synchronisiert werden. Wird ein neues Teammitglied der entsprechenden Gruppe hinzugefügt, erhält es somit automatisch Zugriff auf die relevanten Spaces.

Sicherheit auf Zeilenebene in Quick Sight

Für Dashboards, die auf strukturierten Daten basieren, unterstützt Quick Sight Sicherheit auf Zeilenebene (Row-Level Security, RLS), die einschränkt, welche Datenzeilen jeder Benutzer oder jede Gruppe sehen kann. RLS wird über Dataset-Regeln konfiguriert, bei denen es sich um ein Berechtigungs-Dataset handelt, das Benutzer oder Gruppen den Feldwerten zuordnet, auf die sie zugreifen können.

Zum Beispiel kann ein regionales Vertriebs-Dashboard so konfiguriert werden, dass:

• Die EMEA-Vertriebsgruppe nur Zeilen sieht, bei denen region = 'EMEA'.
• Die NA-Vertriebsgruppe nur Zeilen sieht, bei denen region = 'NA'.
• Der VP of Sales alle Zeilen sieht.

RLS-Regeln werden anhand der Identität des Benutzers ausgewertet, wie sie durch IAM Identity Center bestimmt wird, d. h. dieselbe Identitätsföderation, die die Anmeldung steuert, regelt auch den Zugriff auf Datenebene. Dies gilt gleichermaßen für herkömmliche Dashboard-Ansichten und KI-gestützte Abfragen in natürlicher Sprache. Dieselben Sicherheitsrichtlinien beschränken, auf welche Daten die KI bei der Generierung von Antworten verweisen kann.

Sicherheit auf Spaltenebene

Zusätzlich zu den Einschränkungen auf Zeilenebene unterstützt Quick Sight Sicherheit auf Spaltenebene (Column-Level Security, CLS), um sensible Spalten für bestimmte Benutzer oder Gruppen zu verbergen. Beispielsweise kann bei einem Dataset mit Mitarbeiterinformationen der Zugriff auf die Spalten für Gehalt und Sozialversicherungsnummer auf die Personalabteilung beschränkt sein, während andere Gruppen weiterhin auf die nicht sensiblen Spalten desselben Datasets zugreifen können.

Wie Identität mit privater Konnektivität zusammenhängt

Die Identitätsebene und die Netzwerkebene arbeiten zusammen:

1. Ein Benutzer im Unternehmensnetzwerk authentifiziert sich über Ihren IdP → IAM Identity Center → Quick.
2. Seine Anfrage erreicht Quick über den VPC-Endpunkt (den privaten Netzwerkpfad; siehe VPC-Endpunkte für Benutzer- und API-Zugriff).
3. Quick wertet seine Identität aus, um Rolle, Space-Zugriff und RLS-/CLS-Richtlinien zu bestimmen.
4. Wenn Quick Daten aus einer lokalen Quelle abruft, verwendet es die VPC-Verbindung (ENIs in Ihrem VPC; siehe VPC-Verbindungen für Datenquellenzugriff), um über Direct Connect auf die Datenbank zuzugreifen.
5. Die Antwort wird über denselben privaten Pfad an den Benutzer zurückgegeben.

Abgesehen vom Anmelde- und Static-Asset-Datenverkehr, der unter Enabling access to required external domains beschrieben wird, verläuft kein Datenverkehr über das öffentliche Internet, und zu jedem Zeitpunkt bestimmt die Identität des Benutzers, was er sehen und tun kann.

Validierung und Tests

Bevor Einschränkungen in der Produktion durchgesetzt werden, validieren Sie die End-to-End-Konnektivität für jedes Zugriffsmuster:

Überwachung

Für fortlaufende Transparenz aktivieren Sie VPC Flow Logs auf allen ENIs von Endpunkten und VPC-Verbindungen, um Traffic-Metadaten zu erfassen. Überwachen Sie CloudWatch-Metriken auf VPC-Endpunkten (ActiveConnections, BytesProcessed, PacketsDropped) und richten Sie Alarme für Verbindungsfehler oder unerwartete Traffic-Quellen ein. Diese Protokolle dienen auch als in Ihrer Compliance-Dokumentation referenzierter Prüfpfad.

Fehlerbehebung bei häufigen Problemen

Sicherheitsbewährte Methoden

Weder Netzwerkisolation noch Identitätskontrollen allein sind ausreichend. Diese Architektur stützt sich auf beides: Netzwerkkontrollen verhindern unbefugte Zugriffspfade, während Identitätskontrollen unbefugten Datenzugriff innerhalb autorisierter Sitzungen verhindern. Die folgenden Methoden bewahren beide Schichten.

• Endpunkt-Policies nach dem Least-Privilege-Prinzip: Schränken Sie Website-Endpunkte nach aws:PrincipalAccount oder aws:OrgIdein. Begrenzen Sie Policies auf API-Endpunkten nur auf die spezifischen Aktionen, die Ihre Automatisierung benötigt, statt alle quicksight:* -Aktionen zuzulassen.
• Mehrschichtige Sicherheitsgruppen: Wenden Sie Sicherheitsgruppen sowohl auf VPC-Endpoint-ENIs (Benutzerdatenverkehr) als auch auf VPC-Verbindungs-ENIs (Datenverkehr) an. Auf Endpoint-ENIs beschränken Sie eingehendes HTTPS auf Ihre Unternehmens-CIDR-Bereiche. Auf VPC-Verbindungs-ENIs verwenden Sie eine dedizierte Sicherheitsgruppe, beschränken ausgehenden Verkehr nur auf die Datenbank-Ports und Ziele, die Quick benötigt, und verweisen Sie in den eingehenden Regeln jeder Datenquelle auf diese Sicherheitsgruppe.
• Aktivieren Sie VPC Flow Logs auf allen Endpoint-ENIs: Diese Protokolle erfassen Traffic-Metadaten für Sicherheitsüberwachung, Anomalieerkennung und Compliance-Audits. Sie liefern außerdem die Audit-Trails, die regulatorische Rahmenwerke für kontrollierte Netzwerkgrenzen verlangen.
• Überprüfen Sie Endpoint-Richtlinien regelmäßig: Überprüfen Sie Endpoint-Richtlinien quartalsweise. Verwenden Sie AWS-Config-Regeln, um Abweichungen von Ihrer Baseline-Konfiguration zu erkennen.
• Trennen Sie VPC-Verbindungen nach Sensibilität: Wenn Sie mehrere Datenumgebungen haben (Dev, Staging, Produktion), erstellen Sie separate VPC-Verbindungen mit unterschiedlichen Sicherheitsgruppen, um mandantenübergreifenden bzw. umgebungsübergreifenden Zugriff zu verhindern.
• Überwachen Sie mit CloudWatch: Richten Sie Alarme für die Metriken PacketsDropped und ActiveConnections ein. Ungewöhnliche Muster können auf eine Fehlkonfiguration oder einen versuchten unbefugten Zugriff hinweisen.

Beispielanforderungen und AWS-Konfiguration

Die folgenden Beispiele zeigen, wie die Konfiguration in diesem Beitrag allgemeine Sicherheits- und Netzwerkanforderungen adressieren kann. Prüfen Sie sie mit Ihrem Sicherheitsteam gegen Ihre eigenen Anforderungen.

Kostenaspekte

Tipps zur Kostenoptimierung:

• Verwenden Sie nach Möglichkeit Gateway-Endpunkte (ohne zusätzliche Kosten) für S3 anstelle von Interface-Endpunkten.
• Konsolidieren Sie Endpunkt-ENIs: Jeder Endpunkt benötigt nur ENIs in den AZs, in denen sich die Subnetze der Amazon Quick VPC-Verbindung befinden.
• Aktivieren Sie VPC Flow Logs selektiv auf Endpunkt-ENIs statt auf dem gesamten VPC.
• Prüfen Sie, ob alle externen Domains Zugriff auf das NAT-Gateway benötigen oder ob ein gezielter Proxy für Ihre Traffic-Muster kosteneffizienter wäre.

Fazit

Diese Architektur etabliert vier sich ergänzende Kontrollen: VPC-Endpunkte halten den Benutzerverkehr privat, VPC-Verbindungen geben Quick einen privaten Pfad zu Ihren Datenquellen, die Identitätsföderation legt fest, wer auf was zugreifen kann, und VPC-Endpunktbeschränkungen machen den privaten Pfad verpflichtend. Jede Schicht ist unabhängig prüfbar und lässt sich spezifischen Compliance-Anforderungen zuordnen (siehe Compliance mapping).

Sobald dies eingerichtet ist, können Quick Agents Ihre On-Premises-Datenbanken abfragen, Quick Research Unternehmensquellen hinter der Firewall untersuchen, Quick Sight Dashboards sensible Daten visualisieren und Quick Flows interne Systeme orchestrieren – alles, ohne dass Ihre Daten das öffentliche Internet durchqueren. Die KI-Funktionen bleiben unverändert. Die Exposition wird beseitigt.

Für die Implementierung beginnen Sie mit den VPC-Endpunkten für den Benutzer- und API-Zugriff und validieren Sie den Benutzerzugriff, bevor Sie zu den VPC-Verbindungen für den Datenquellenzugriff übergehen. Aktivieren Sie die VPC-Endpunktbeschränkungen erst, nachdem Sie bestätigt haben, dass alle Zugriffsmuster über den privaten Pfad funktionieren. Informationen zur Einrichtung der Identitätsföderation und zur erweiterten RLS/CLS-Konfiguration finden Sie in der IAM Identity Center-Dokumentation.

Über die Autoren