Sécuriser l’accès Quick depuis les réseaux d’entreprise avec AWS PrivateLink

Lorsque les données d’entreprise se trouvent derrière un pare-feu d’entreprise ou dans un centre de données privé sur site, il n’existe aucun chemin réseau direct depuis AWS, même si les agents d’IA et les tableaux de bord d’Amazon Quick peuvent interroger pratiquement n’importe quelle source de données. Les administrateurs doivent s’assurer que leurs données d’entreprise sensibles ne sont pas exposées à l’internet public tout en restant accessibles pour des analyses et des actions pilotées par l’IA.

Pour de nombreuses entreprises, acheminer le trafic par l’internet public introduit un risque inacceptable. Les cadres réglementaires tels que HIPAA, FedRAMP et PCI-DSS exigent souvent que les données sensibles restent dans des limites réseau contrôlées. Même lorsque la conformité n’est pas le facteur principal, l’exposition des chemins de données internes augmente la surface d’attaque, complique les pistes d’audit et introduit une latence variable susceptible de dégrader l’expérience utilisateur.

Cette procédure pas à pas vous montre comment connecter en privé des sources de données sur site à Amazon Quick, sans que le trafic ne traverse l’internet public. Elle suppose que vous disposez déjà d’AWS Direct Connect ou d’un VPN AWS Site-to-Site reliant votre environnement sur site à votre cloud privé virtuel (VPC). À partir de cette base, nous configurons des points de terminaison VPC propulsés par AWS PrivateLink afin que Quick puisse atteindre vos ressources privées via l’épine dorsale AWS, puis nous ajoutons des groupes de sécurité et des politiques de points de terminaison VPC pour une défense en profondeur.

À la fin, vous disposerez d’une architecture réseau qui maintient le trafic entre Quick et vos sources de données sur site hors de l’internet public, réduisant la surface d’attaque, offrant une connectivité à latence faible et constante, et vous fournissant une piste d’audit claire pour la conformité.

Amazon Quick et mise en place d’une connectivité réseau privée

Amazon Quick est un espace de travail propulsé par l’IA qui réunit la recherche, l’analyse, la recherche documentaire et l’automatisation dans une seule expérience conversationnelle. Comprendre quels composants accèdent à votre réseau privé, et comment, détermine l’architecture des sections qui suivent.

L’accès aux données dans Amazon Quick suit deux chemins. Trafic côté utilisateur concerne toute personne ouvrant la console Quick, interagissant avec un tableau de bord, effectuant un appel d’API ou utilisant Quick Desktop. Tout cela passe par des points de terminaison VPC (voir Points de terminaison VPC pour l’accès des utilisateurs et des API), maintenant les sessions utilisateur hors de l’internet public.

Trafic de récupération de données désigne le moment où Quick lui-même accède à votre réseau pour extraire des données. Cela est géré par les connexions VPC (voir Connexions VPC pour l’accès aux sources de données), et c’est là que se situent la plupart des décisions architecturales. Les fonctionnalités et intégrations qui initient des connexions de récupération de données sont :

• Amazon Quick Sight interroge directement les bases de données sur site (PostgreSQL, MySQL, SQL Server, Oracle et autres) via des ENI placés dans votre VPC. C’est le plus gros consommateur de connexions VPC.
• Amazon Quick Flows et Amazon Quick Automate sont des fonctionnalités d’automatisation distinctes. Flows gère les tâches répétables. Automate gère l’orchestration complexe multi-systèmes avec intervention humaine. Les deux invoquent des connecteurs d’action, y compris des serveurs MCP hébergés en privé dans votre VPC. Tout flux de travail qui appelle une API interne passe par ce chemin.
• Quick Agents sont à la base de toutes les interactions conversationnelles et peuvent invoquer directement des connecteurs d’action. Lorsqu’un agent personnalisé appelle un serveur MCP hébergé en privé ou une API interne, le trafic passe par la connexion VPC.
• Amazon Quick Index construit une couche de recherche unifiée sur les sources connectées telles que Confluence, SharePoint et Amazon Simple Storage Service (Amazon S3). Pour les données situées dans votre VPC ou sur site, les connexions VPC de base de connaissances ne sont actuellement prises en charge que pour Amazon Redshift. Les sources telles que Confluence, SharePoint, Box, Google Drive, OneDrive et Amazon S3 ne peuvent pas utiliser une connexion VPC Quick à ce jour (voir Sources de données VPC prises en charge). Vous pouvez toujours restreindre l’accès au compartiment Amazon S3 à un point de terminaison VPC via une politique de compartiment, ce qui constitue un mécanisme distinct.
• Amazon Quick Research accède aux sources d’entreprise derrière le pare-feu en plus des données de l’internet public pour ses rapports avec citations, en utilisant la connexion VPC lorsqu’il atteint des sources privées.
• Apps in Quick construit des applications web interactives sur des données structurées et des connecteurs d’action, héritant de la même connectivité VPC que Quick Sight et Flows.
• Quick Spaces organise le contenu des fonctionnalités précédentes mais n’initie pas ses propres connexions de données.

Ces deux chemins de trafic nécessitent deux mécanismes distincts de connectivité privée qui fonctionnent ensemble :

• Points de terminaison VPC (AWS PrivateLink) : Gèrent le trafic destiné aux utilisateurs, comme l'accès au site web Quick, les appels API et l'accès administratif. Ils permettent de soustraire le trafic des utilisateurs à l'internet public.
• Connexions VPC : Gèrent le trafic des sources de données. Amazon Quick accède à votre VPC (et, par extension, à votre réseau sur site) pour récupérer des données depuis des bases de données, des sources de base de connaissances Amazon Redshift et des API internes. Celles-ci sont configurées dans la console Quick.

Configuration de la connectivité privée

Cette section présente, dans l'ordre, les quatre éléments de base : les points de terminaison VPC pour l'accès des utilisateurs et des API, les connexions VPC pour l'accès aux sources de données, les points de terminaison VPC pour les services de données AWS, et l'accès sortant vers les domaines externes requis.

Prérequis

Avant de configurer la connectivité privée pour Quick, assurez-vous que les éléments suivants sont en place :

• Un compte AWS actif avec un abonnement Amazon Quick Enterprise (les connexions VPC nécessitent l'édition Enterprise).
• Un VPC existant dans la Région AWS où Quick est déployé.
• Une Région AWS prise en charge. Les VPC endpoints du site web Quick ne sont pas disponibles dans les Régions AWS Chine ni dans les Régions AWS GovCloud (US).
• Une connexion AWS Direct Connect ou un VPN Site-to-Site établi entre votre réseau sur site et votre VPC. Il s'agit du chemin privé qui achemine le trafic de votre centre de données vers AWS.
• Des autorisations AWS Identity and Access Management (IAM) pour créer et gérer les VPC endpoints, les groupes de sécurité et l'administration de Quick. Pour créer des connexions VPC, l'identité IAM de l'administrateur a également besoin de quicksight:CreateVPCConnection, quicksight:DescribeVPCConnection, quicksight:ListVPCConnections, quicksight:UpdateVPCConnection, quicksight:DeleteVPCConnection, ec2:DescribeSubnets, ec2:DescribeVpcs, ec2:DescribeSecurityGroups, iam:ListRoles, et de iam:PassRole limités au rôle d'exécution de la connexion VPC.
• L'accès à la gestion DNS de votre organisation (zones hébergées privées Route 53 ou serveurs DNS relais sur site), car la résolution DNS privée achemine le trafic via les VPC endpoints plutôt que via des adresses publiques.

VPC endpoints pour l'accès des utilisateurs et des API (AWS PrivateLink)

Les VPC endpoints propulsés par PrivateLink gèrent tout le trafic destiné aux utilisateurs vers Amazon Quick, y compris le site web, les appels d'API et le contenu intégré. Ils évitent aux utilisateurs d'avoir à traverser l'internet public pour accéder à la console Amazon Quick.

Figure 1 : Accès privé à Amazon Quick depuis un centre de données d'entreprise via un VPC endpoint

Comme le montre la Figure 1 : (1) un client sur le réseau d'entreprise envoie une requête à Quick ; (2) la requête transite par AWS Direct Connect, via la passerelle Direct Connect, jusqu'à votre VPC ; (3) le VPC endpoint Quick évalue la politique de l'endpoint et autorise ou refuse la requête ; (4) les requêtes autorisées atteignent Amazon Quick via le réseau AWS.

Planification de l'architecture de vos VPC endpoints

Lors de la planification de votre architecture d'endpoints, commencez par identifier la Région AWS où votre compte Quick est déployé, car les VPC endpoints doivent se trouver dans la même Région. Choisissez des sous-réseaux répartis sur plusieurs Zones de disponibilité pour le placement des ENI des endpoints, et assurez-vous que ces sous-réseaux disposent de routes vers votre réseau sur site via Direct Connect ou un VPN.

Concevez des groupes de sécurité qui limitent le trafic sur les ENI des endpoints aux seuls ports et plages de sources requis. Si vous souhaitez que tout le trafic soit acheminé de manière privée (y compris les appels qu'Amazon Quick effectue vers Amazon S3, Amazon Redshift et Amazon Athena), prévoyez également des VPC endpoints pour ces services (voir Configuring data source VPC endpoints).

Création de VPC endpoints pour Quick

Quick nécessite deux VPC endpoints d'interface pour un accès entièrement privé :

• Endpoint d'accès au site web – Nom du service com.amazonaws.<region>.quicksight-website. Celui-ci gère l'essentiel du trafic des utilisateurs vers la console Quick. Les noms DNS privés du site web Quick diffèrent de l'URL publique ; vous devez donc créer un enregistrement A pour <region>.quicksight.aws.amazon.com pointant vers le VPC endpoint.
• Endpoint d'accès à l'API – Nom du service com.amazonaws.<region>.quicksight. Celui-ci gère les appels d'API programmatiques. Lorsque le DNS privé est activé, les appels d'API existants vers quicksight.<region>.amazonaws.com sont automatiquement acheminés via le VPC endpoint sans configuration DNS supplémentaire. Pour la conformité FIPS, utilisez com.amazonaws.<region>.quicksight-fips.

Remarque : Toutes les API Quick ne sont pas disponibles via le VPC endpoint d'API. Les 13 API suivantes ne sont pas prises en charge : les API de connecteurs d'action (CreateActionConnector, DeleteActionConnector, DescribeActionConnector, DescribeActionConnectorPermissions, ListActionConnectors, SearchActionConnectors, UpdateActionConnector, UpdateActionConnectorPermissions) et les API de flux (GetFlowMetadata, GetFlowPermissions, ListFlows, SearchFlows, UpdateFlowPermissions). L'automatisation qui gère les connecteurs d'action ou les flux de manière programmatique nécessite un chemin vers l'endpoint d'API public. Voir Quick et les VPC endpoints d'interface.

Si les administrateurs se connectent à Amazon Quick en tant qu'utilisateurs IAM via le VPC, créez également les endpoints de la AWS Management Console :

• com.amazonaws.<region>.console.
• com.amazonaws.<region>.signin.

Pour créer l'endpoint du site web dans la console Amazon Virtual Private Cloud (Amazon VPC) :

1. Ouvrez la console Amazon VPC. Dans le volet de navigation, sous PrivateLink and Lattice, choisissez Points de terminaison, puis choisissez Créer un point de terminaison.
2. Saisissez un Name tag (par exemple, my-quicksight-vpc-endpoint) et, pour Type, choisissez AWS services.
3. Sous Services, recherchez com.amazonaws.<region>.quicksight et sélectionnez com.amazonaws.<region>.quicksight-website (Figure 2).

Figure 2 : Nommer le point de terminaison et sélectionner le service de point de terminaison Quick website

1. Sous Network settings, sélectionnez votre VPC. Sous Additional settings, laissez Enable private DNS name sélectionné.
2. Sélectionnez des sous-réseaux dans au moins deux Zones de disponibilité, puis sélectionnez le groupe de sécurité pour les ENI du point de terminaison (Figure 3).

Figure 3 : Sélection du VPC, du DNS privé, des sous-réseaux et du groupe de sécurité pour le point de terminaison

1. Choisissez une Policy (voir la section suivante Configuration des stratégies de point de terminaison VPC), ajoutez des balises et choisissez Créer un point de terminaison (Figure 4).

Figure 4 : Choix de la stratégie du point de terminaison et création du point de terminaison

1. Répétez ces étapes pour le point de terminaison de l’API, com.amazonaws.<region>.quicksight.

Configuration de la résolution DNS

Pour le point de terminaison du site web, créez un enregistrement A pour <region>.quicksight.aws.amazon.com et pointez-le vers le nom DNS du point de terminaison VPC. Ainsi, lorsque les utilisateurs de votre réseau d'entreprise résolvent l'URL de Quick, le trafic passe par le point de terminaison privé plutôt que par l'internet public. Pour le point de terminaison de l'API, l'activation du DNS privé sur le point de terminaison VPC est suffisante, car les appels d'API sont automatiquement résolus vers les adresses IP privées du point de terminaison.

Une zone hébergée privée Route 53 ne répond qu'aux requêtes provenant des VPC qui lui sont associés. Comme vos utilisateurs se connectent depuis le réseau d'entreprise, configurez vos serveurs DNS sur site pour transférer les requêtes pour <region>.quicksight.aws.amazon.com vers un point de terminaison entrant Route 53 Resolver dans le VPC (ou hébergez un enregistrement équivalent dans votre DNS sur site). Enfin, validez la résolution DNS depuis votre réseau d'entreprise pour confirmer que les requêtes sont résolues vers des IP privées au sein de votre VPC plutôt que vers des adresses publiques.

Pour créer l'enregistrement dans Route 53 :

1. Dans la console Route 53, choisissez Hosted zones, puis Create hosted zone.
2. Pour Domain name, saisissez <region>.quicksight.aws.amazon.com (par exemple, us-east-1.quicksight.aws.amazon.com). Le fait de limiter la zone à votre Région évite de remplacer d'autres noms d'hôte Quick. Choisissez Private hosted zone, associez votre VPC, puis choisissez Create hosted zone (Figure 5).

Figure 5 : Création d'une zone hébergée privée dans Amazon Route 53

1. Dans la nouvelle zone hébergée, choisissez Create record (Figure 6).

Figure 6 : Création d'un enregistrement dans la nouvelle zone hébergée privée

1. Laissez Record name vide, choisissez le type d'enregistrement A, activez Alias, puis choisissez Alias to VPC endpoint, sélectionnez votre Région et le nom DNS du point de terminaison du site web, puis choisissez Créer des enregistrements (Figure 7).

Figure 7 : Création d'un enregistrement A alias pointant vers le point de terminaison VPC du site web Quick

Configuration des politiques de point de terminaison VPC

Les politiques de point de terminaison VPC restreignent les comptes ou les organisations qui peuvent utiliser le point de terminaison. Pour Quick, les politiques peuvent être limitées par ID de compte AWS ou par ID d'organisation. Pour modifier une politique, ouvrez le point de terminaison dans la console Amazon VPC, choisissez l'onglet Policy puis choisissez Edit Policy (Figure 8).

Limitation importante : Pour le point de terminaison du site web Quick, les champs Principal, Action, et Resource doivent tous être définis sur *. Les conditions ne peuvent être spécifiées que sur les attributs aws:PrincipalAccount ou aws:OrgId . Les politiques plus restrictives au niveau des actions ne sont prises en charge que sur le point de terminaison de l'API.

Exemple de politique de point de terminaison de site web :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalAccount": ["012345678901"]
                }
            }
        }
    ]
}

Figure 8 : Ouverture de la politique du point de terminaison depuis la page de détails du point de terminaison VPC

Exemple de politique de point de terminaison d'API (restreinte à des actions spécifiques) :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "quicksight:DescribeUser",
                "quicksight:ListUsers"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalAccount": ["012345678901"]
                }
            }
        }
    ]
}

Figure 9 : Modification d'une politique de point de terminaison VPC personnalisée

Connexions VPC pour l'accès aux sources de données

Tandis que les points de terminaison VPC gèrent le trafic destiné aux utilisateurs, les connexions VPC gèrent le chemin côté serveur, ce qui signifie qu'Amazon Quick accède à votre VPC pour interroger des bases de données, des sources de base de connaissances Amazon Redshift et des API internes.

Fonctionnement des connexions VPC

Amazon Quick Enterprise edition est entièrement intégré à Amazon VPC. Lorsque vous créez une connexion VPC dans Amazon Quick, vous ajoutez des interfaces réseau élastiques (ENI) dans les sous-réseaux de votre VPC. Ces ENI permettent à Quick d'échanger du trafic réseau avec les ressources de votre VPC et, par extension, avec tout ce qui est accessible depuis ce VPC, y compris les systèmes sur site connectés via Direct Connect ou VPN.

Tous les contrôles de sécurité VPC standard s'appliquent à ce trafic. Les tables de routage, les listes ACL réseau, les sous-réseaux et les groupes de sécurité régissent le trafic vers et depuis Quick de la même manière qu'ils régissent le trafic entre toutes les autres instances de votre VPC. Cela signifie que vous pouvez vous connecter à :

• Des bases de données privées non exposées à l'internet public.
• Des sources de données sur site accessibles via Direct Connect ou VPN.
• Des API internes accessibles par adresse IP au sein de votre réseau.

Créez un groupe de sécurité dédié (par exemple, QuickSight-VPC) pour les ENI de la connexion VPC. Sur le groupe de sécurité de chaque source de données, autorisez le trafic entrant sur le port de la base de données depuis cet ID de groupe de sécurité.

Remarque concernant les connexions VPC créées avant le 27 avril 2023 : Le groupe de sécurité attaché à l’interface réseau Quick n’est pas avec suivi d’état (stateful). Vous devez ajouter une règle entrante qui autorise explicitement le trafic de retour provenant du groupe de sécurité de votre source de données sur tous les ports (0–65535), car les paquets de retour utilisent des ports de destination alloués aléatoirement. Les connexions créées après cette date utilisent le comportement standard avec suivi d’état. Voir Groupes de sécurité : règles entrantes et sortantes.

Création du rôle d’exécution

Amazon Quick ne crée pas le rôle d’exécution de connexion VPC pour vous. Avant d’ajouter la connexion, créez un rôle IAM dédié (recommandé) ou mettez à jour un rôle existant qui fait déjà confiance à Quick, tel que aws-quicksight-service-role-v0 utilisé dans les captures d’écran de cet article. Le rôle a besoin de :

• Une politique d’autorisations qui accorde les actions Amazon Elastic Compute Cloud (Amazon EC2) que Quick utilise pour gérer ses ENI (Figure 10).
• Une politique d’approbation qui permet à quicksight.amazonaws.com d’assumer le rôle. Seuls les rôles avec cette politique d’approbation apparaissent dans la liste Rôle d’exécution de la console Quick.

Politique d'autorisation :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateNetworkInterface",
                "ec2:DeleteNetworkInterface",
                "ec2:ModifyNetworkInterfaceAttribute",
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups"
            ],
            "Resource": "*"
        }
    ]
}

Figure 10 : Ajout des autorisations Amazon EC2 requises par le rôle d'exécution de la connexion VPC

Politique de confiance :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": { "Service": "quicksight.amazonaws.com" },
            "Action": "sts:AssumeRole"
        }
    ]
}

Configuration d'une connexion VPC

Pour créer une connexion VPC dans la console Quick :

1. Connectez-vous à Amazon Quick en tant qu'administrateur. Choisissez votre icône de profil en haut à droite, puis choisissez Gérer le compte (Figure 11). Si vous ne voyez pas cette option, vous n'êtes pas administrateur Quick.

Figure 11 : Ouverture de Gérer le compte à partir du menu Profil rapide

1. Dans le volet de navigation, sous Sécurité, choisissez Gérer les connexions VPC **(Figure 12), puis choisissez** Ajouter une connexion VPC.

Figure 12 : Gérer les connexions VPC sous Sécurité sur la page Gérer le compte

1. Fournissez les éléments suivants (Figure 13) :
   1. Un descriptif Nom de connexion VPC.
   2. Le ID de VPC du VPC cible. Cette option ne peut plus être modifiée ultérieurement.
   3. Le rôle d'exécution que vous avez créé à l'étape précédente.
   4. Au moins deux sous-réseaux dans des zones de disponibilité différentes.
   5. Au moins un identifiant de groupe de sécurité .
   6. (Facultatif) Si le nom d'hôte de votre base de données doit être résolu via un DNS privé, saisissez les adresses IP de vos points de terminaison entrants Route 53 Resolver sous Points de terminaison du résolveur DNS.
2. Choisir AJOUTER.

Figure 13 : Ajout d'une connexion VPC dans la console Quick

L'état de la connexion affiche UNAVAILABLE jusqu'à ce que Quick termine le provisionnement des ENI, puis passe à AVAILABLE. Un état PARTIALLY AVAILABLE signifie que l'un des ENI n'est pas disponible, mais que la connexion peut toujours être utilisée.

Configuration des points de terminaison VPC des sources de données

Les points de terminaison VPC (PrivateLink, utilisé ici pour les API de services AWS) et les connexions VPC (ENI de Quick placés dans votre VPC ; voir Connexions VPC pour l'accès aux sources de données) sont des mécanismes différents. Quick accède à d'autres services AWS (Amazon S3, Amazon Redshift, Amazon Athena, AWS Secrets Manager) lors de la récupération de données pour les tableaux de bord et les analyses. Si vous souhaitez que tout le trafic reste privé, y compris les appels qu'Amazon Quick effectue vers ces services AWS, créez des points de terminaison VPC d'interface ou de passerelle pour chacun :

* Athena n'est pas pris en charge comme source de données de connexion VPC. Le point de terminaison Athena conserve le trafic de l'API Athena sur AWS PrivateLink uniquement.

Créez ces points de terminaison dans le même VPC que celui où sont placées les ENI Amazon Quick. Assurez-vous que les tables de routage et les groupes de sécurité autorisent le trafic entre les sous-réseaux Amazon Quick et les sous-réseaux des points de terminaison.

Activation de l'accès aux domaines externes requis

Bien que le trafic de données entre Quick et vos sources sur site reste sur le réseau privé, les navigateurs des utilisateurs doivent toujours accéder à un ensemble de domaines pour la connexion, les ressources statiques, les métriques côté client et les intégrations. Même avec des points de terminaison VPC configurés, les domaines sans prise en charge de point de terminaison VPC nécessitent une connectivité sortante, généralement via votre proxy d'entreprise ou votre pare-feu. Si votre compte utilise IAM Identity Center, la connexion via le navigateur nécessite également les points de terminaison publics de connexion AWS et IAM Identity Center (voir Sécurisation de l'accès des utilisateurs et fédération d'identité).

Domaines externes requis

Source : Domaines accédés par Quick.

Guide de configuration :

• Pour les domaines prenant en charge les VPC endpoints (le site Web et l'API Quick, signin.aws.amazon.com, et Amazon S3), créez les VPC endpoints et les enregistrements DNS correspondants.
• Pour les domaines ne prenant pas en charge les VPC endpoints, autorisez-les via votre sortie Internet d'entreprise (proxy sortant ou pare-feu). Si le trafic des utilisateurs sort par votre VPC, utilisez une NAT gateway dans un sous-réseau public.
• Si votre posture de sécurité exige un filtrage au niveau des URL, utilisez un proxy sortant ou des règles de filtrage de domaine AWS Network Firewall pour autoriser uniquement les domaines listés précédemment.
• Testez depuis un poste de travail d'entreprise (ou une instance située sur le même chemin de sortie) : nslookup et curl sur chaque domaine pour confirmer la résolution DNS et le routage.

Application des restrictions de VPC endpoints

Une fois vos endpoints configurés et testés, vous pouvez faire en sorte que tout accès à votre compte Quick passe obligatoirement par le VPC endpoint, en bloquant entièrement l'accès Internet général. Ainsi, les utilisateurs ne peuvent atteindre Quick que depuis votre réseau d'entreprise via le chemin privé que vous avez établi.

Quick fournit des contrôles de restriction par IP et par VPC endpoint qui limitent l'accès au compte à une liste prédéfinie de plages d'adresses IP, d'identifiants VPC ou d'identifiants de VPC endpoints. Par exemple, vous pouvez créer une règle qui autorise l'accès uniquement depuis le VPC endpoint utilisé pour Direct Connect, ce qui signifie que toute personne tentant d'atteindre Quick depuis l'Internet public sera refusée.

Pour configurer via la console Quick (seuls les administrateurs connectés avec des informations d'identification IAM peuvent accéder à la page des restrictions) :

1. Choisissez l'icône de votre profil, puis Manage account. Sous Security, choisissez Manage IP/VPC restrictions.
2. Dans le champ Restriction , saisissez l'ID du VPC endpoint (par exemple, vpce-001122def), saisissez une Description, puis choisissez Add (Figure 14).
3. Choisissez Save changes pour appliquer la règle.
4. Activez Enforce restrictions.

Figure 14 : Ajout d'une règle de VPC endpoint sur la page des restrictions IP et VPC endpoint

Vous pouvez également configurer via l'AWS Command Line Interface (AWS CLI) :

aws quicksight update-ip-restriction \
--aws-account-id ACCOUNT_ID \
--region REGION \
--enabled \
--vpc-endpoint-id-restriction-rule-map \
vpce-001122def=CorporateVpcEndpoint

Remarque : UpdateIpRestriction remplace l'intégralité de la table de règles. Récupérez vos règles actuelles avec aws quicksight describe-ip-restriction et incluez toutes les règles existantes dans la mise à jour.

Points clés à prendre en compte :

• Les règles IP et VPC endpoint s'appliquent aux accès web, intégré et mobile de Quick, ce qui signifie qu'elles ne restreignent pas l'accès à l'API publique. Pour restreindre les appels d'API provenant de sources spécifiques, utilisez des politiques IAM avec les conditions aws:SourceIp ou aws:SourceVpce .
• Assurez-vous que votre propre IP ou VPC endpoint est inclus dans les règles avant d'activer les restrictions, sinon vous vous enfermerez vous-même dehors.
• Les règles peuvent mettre jusqu'à 10 minutes pour prendre pleinement effet.
• Vous pouvez combiner des règles IP et des règles de point de terminaison VPC, de sorte que le trafic soit autorisé s'il satisfait l'un ou l'autre type de règle. Vous pouvez ajouter jusqu'à 100 règles IP et de point de terminaison VPC combinées.
• Les règles IP et de point de terminaison VPC sont appliquées dans toutes les régions AWS pour votre compte, mais vous ne pouvez les ajouter ou les gérer qu'à partir de la région AWS où votre compte Quick a été créé.
• Si vous avez des tableaux de bord publiquement intégrés, ils ne seront accessibles que via le point de terminaison VPC une fois les restrictions activées.

Après l'application des restrictions, seul le trafic arrivant via le point de terminaison VPC spécifié (ou les plages d'IP autorisées) peut atteindre votre compte Quick. Tout autre accès est refusé.

Sécurisation de l'accès des utilisateurs et fédération d'identité

La connectivité réseau privée maintient le trafic hors de l'internet public, mais elle ne répond pas à la question de savoir qui peut accéder à quoi dans Quick. Cette section explique comment intégrer votre fournisseur d'identité d'entreprise, contrôler le provisionnement des utilisateurs et appliquer une segmentation des accès à granularité fine entre les composants de Quick.

Intégration à AWS IAM Identity Center

Important : Pour les comptes Quick intégrés à IAM Identity Center, l'authentification par navigateur nécessite l'accès aux points de terminaison publics de connexion AWS et d'IAM Identity Center. Les points de terminaison VPC ne fournissent pas ce chemin de connexion par navigateur. Les adresses IP publiques ne sont pas requises. Fournissez une connectivité sortante via une passerelle NAT ou un proxy. Consultez Considerations for private access dans le IAM Identity Center User Guide.

Amazon Quick utilise AWS IAM Identity Center comme point central de gestion des identités de la main-d'œuvre. IAM Identity Center se connecte à votre fournisseur d'identité d'entreprise (IdP) existant en utilisant SAML 2.0 pour l'authentification et SCIM 2.0 pour le provisionnement automatique des utilisateurs et des groupes. Ceci fournit :

• Le provisionnement et le déprovisionnement automatiques des utilisateurs synchronisés depuis votre IdP.
• La synchronisation des appartenances aux groupes – lorsqu'un utilisateur est ajouté à un groupe ou en est retiré, ce changement se propage à Quick.
• L'authentification unique (SSO) avec les informations d'identification d'entreprise existantes.
• Des informations d'identification temporaires via des rôles IAM assumés – aucun mot de passe spécifique à Quick de longue durée.

Pour un guide étape par étape sur la configuration d'IAM Identity Center avec votre fournisseur d'identité, consultez Getting started with IAM Identity Center.

Accès basé sur les rôles dans Quick

Quick prend en charge trois rôles de base qui déterminent ce qu'un utilisateur peut faire :

• Admin – Accès de gestion complet, y compris la configuration des sources de données, les connexions VPC, les paramètres de sécurité, la gestion des utilisateurs et l'achat de capacité SPICE.
• Author – Peut créer et publier des tableaux de bord, créer des agents, configurer des Spaces, gérer des sources de données, créer des flux et créer des applications.
• Lecteur – Peut consulter les tableaux de bord publiés, interagir avec les agents, utiliser les Spaces auxquels il a été autorisé à accéder et consommer les rapports Quick Research.

Ces rôles sont mappés à des rôles IAM que les utilisateurs fédérés assument lors de la connexion. En gérant l'attribution des rôles dans votre IdP, vous maintenez une source unique de vérité sur qui dispose de quel niveau d'accès.

De plus, Quick prend en charge des profils d'autorisations personnalisés qui peuvent remplacer les autorisations par défaut des rôles au niveau du compte, du rôle ou de l'utilisateur. Les autorisations au niveau utilisateur l'emportent sur celles au niveau du rôle, qui l'emportent à leur tour sur celles au niveau du compte. Cela donne aux administrateurs un contrôle granulaire au-delà des trois rôles de base.

Segmentation des utilisateurs avec les Spaces

Les Spaces Quick offrent une couche supplémentaire de segmentation des accès au-delà des rôles. Chaque Space peut être configuré avec des autorisations spécifiques pour des utilisateurs et des groupes, ce qui signifie :

• Un Space pour l'équipe financière contenant des tableaux de bord de revenus sensibles et des bases de connaissances financières n'est accessible qu'au groupe finance.
• Un Space pour l'équipe commerciale avec des agents connectés au CRM et des tableaux de bord de pipeline est réservé aux utilisateurs commerciaux.
• Des Spaces inter-fonctionnels peuvent être partagés entre plusieurs groupes avec les autorisations appropriées.

L'accès au niveau du Space est contrôlé par les groupes synchronisés depuis votre fournisseur d'identité, de sorte que l'ajout d'un nouveau membre de l'équipe au groupe approprié lui accorde automatiquement l'accès aux Spaces concernés.

Sécurité au niveau des lignes dans Quick Sight

Pour les tableaux de bord reposant sur des données structurées, Quick Sight prend en charge la sécurité au niveau des lignes (RLS) qui restreint les lignes de données que chaque utilisateur ou groupe peut voir. La RLS est configurée via des règles de jeu de données, qui constituent un jeu de données d'autorisations mappant les utilisateurs ou groupes aux valeurs de champ auxquelles ils peuvent accéder.

Par exemple, un tableau de bord des ventes régionales peut être configuré de sorte que :

• Le groupe des ventes EMEA ne voit que les lignes où region = 'EMEA'.
• Le groupe des ventes NA ne voit que les lignes où region = 'NA'.
• Le vice-président des ventes voit toutes les lignes.

Les règles RLS sont évaluées en fonction de l'identité de l'utilisateur telle que déterminée par IAM Identity Center, ce qui signifie que la même fédération d'identités qui contrôle la connexion régit également l'accès au niveau des données. Cela s'applique aussi bien aux vues de tableaux de bord traditionnelles qu'aux requêtes en langage naturel assistées par IA. Les mêmes politiques de sécurité restreignent les données que l'IA peut référencer lors de la génération de réponses.

Sécurité au niveau des colonnes

En plus des restrictions au niveau des lignes, Quick Sight prend en charge la sécurité au niveau des colonnes (CLS) pour masquer des colonnes sensibles à des utilisateurs ou groupes spécifiques. Par exemple, un jeu de données contenant des informations sur les employés peut restreindre les colonnes salary et SSN au seul groupe RH, tandis que les autres groupes peuvent toujours accéder aux colonnes non sensibles du même jeu de données.

Lien entre l'identité et la connectivité privée

La couche d'identité et la couche réseau fonctionnent ensemble :

1. Un utilisateur sur le réseau d'entreprise s'authentifie via votre IdP → IAM Identity Center → Quick.
2. Sa requête parvient à Quick via le point de terminaison VPC (le chemin réseau privé ; voir VPC endpoints pour l'accès des utilisateurs et des API).
3. Quick évalue son identité pour déterminer le rôle, l'accès aux Spaces et les politiques RLS/CLS.
4. Lorsque Quick récupère des données depuis une source sur site, il utilise la connexion VPC (ENI dans votre VPC ; voir VPC connections pour l'accès aux sources de données) pour atteindre la base de données via Direct Connect.
5. La réponse est renvoyée à l'utilisateur par le même chemin privé.

Hormis le trafic de connexion et de ressources statiques décrit sous Enabling access to required external domains, aucun trafic ne transite par l'internet public, et à chaque étape l'identité de l'utilisateur détermine ce qu'il peut voir et faire.

Validation et tests

Avant d'appliquer les restrictions en production, validez la connectivité de bout en bout pour chaque modèle d'accès :

Surveillance

Pour une visibilité continue, activez les VPC Flow Logs sur toutes les ENI des endpoints et des connexions VPC afin de capturer les métadonnées du trafic. Surveillez les métriques CloudWatch sur les VPC endpoints (ActiveConnections, BytesProcessed, PacketsDropped) et définissez des alarmes en cas d'échecs de connexion ou de sources de trafic inattendues. Ces journaux servent également de piste d'audit référencée dans votre documentation de conformité.

Dépannage des problèmes courants

Bonnes pratiques de sécurité

Ni l'isolation réseau ni les contrôles d'identité ne suffisent à eux seuls. Cette architecture repose sur les deux : les contrôles réseau empêchent les chemins d'accès non autorisés, tandis que les contrôles d'identité empêchent l'accès non autorisé aux données au sein des sessions autorisées. Les pratiques ci-dessous maintiennent ces deux couches.

• Politiques de endpoint au moindre privilège : Restreignez les endpoints de site web par aws:PrincipalAccount ou aws:OrgId. Sur les endpoints API, limitez les politiques aux seules actions spécifiques requises par votre automatisation plutôt que d'autoriser toutes les actions quicksight:* .
• Groupes de sécurité en couches : Appliquez des groupes de sécurité aux ENI des endpoints VPC (trafic des utilisateurs) et aux ENI des connexions VPC (trafic de données). Sur les ENI des endpoints, restreignez le HTTPS entrant à vos plages CIDR d'entreprise. Sur les ENI des connexions VPC, utilisez un groupe de sécurité dédié, restreignez le trafic sortant aux seuls ports et destinations de bases de données dont Quick a besoin, et référencez ce groupe de sécurité dans les règles entrantes de chaque source de données.
• Activez les VPC Flow Logs sur toutes les ENI des endpoints : Ces journaux capturent les métadonnées du trafic pour la surveillance de sécurité, la détection d'anomalies et l'audit de conformité. Ils fournissent également la piste d'audit qu'exigent les cadres réglementaires pour les périmètres réseau contrôlés.
• Auditez régulièrement les politiques des endpoints : Examinez les politiques des endpoints chaque trimestre. Utilisez les règles AWS Config pour détecter les écarts par rapport à votre configuration de référence.
• Séparez les connexions VPC selon la sensibilité : Si vous disposez de plusieurs environnements de données (développement, staging, production), créez des connexions VPC distinctes avec des groupes de sécurité distincts pour empêcher tout accès entre environnements.
• Surveillez avec CloudWatch : Définissez des alarmes sur les métriques PacketsDropped et ActiveConnections . Des schémas inhabituels peuvent indiquer une mauvaise configuration ou une tentative d'accès non autorisé.

Exemples de exigences et de configuration AWS

Les exemples suivants montrent comment la configuration présentée dans cet article peut répondre à des exigences de sécurité réseau courantes. Évaluez-les par rapport à vos propres exigences avec votre équipe de sécurité.

Considérations de coût

Conseils d'optimisation des coûts :

• Utilisez des points de terminaison de passerelle (sans frais supplémentaires) pour S3 au lieu de points de terminaison d'interface lorsque c'est possible.
• Consolidez les ENI des points de terminaison : chaque point de terminaison n'a besoin d'ENI que dans les AZ où résident les sous-réseaux de connexion VPC Amazon Quick.
• Activez les VPC Flow Logs de manière sélective sur les ENI des points de terminaison plutôt que sur l'ensemble du VPC.
• Déterminez si tous les domaines externes ont besoin d'un accès via une passerelle NAT ou si un proxy ciblé serait plus rentable pour vos schémas de trafic.

Conclusion

Cette architecture établit quatre contrôles complémentaires : les VPC endpoints maintiennent le trafic des utilisateurs privé, les VPC connections offrent à Quick un chemin privé vers vos sources de données, la fédération d'identité détermine qui peut accéder à quoi, et les restrictions de VPC endpoint rendent le chemin privé obligatoire. Chaque couche est auditée indépendamment et correspond à des exigences de conformité spécifiques (voir Correspondance de conformité).

Une fois cette mise en place effectuée, les Quick Agents peuvent interroger vos bases de données sur site, Quick Research peut explorer les sources d'entreprise situées derrière le pare-feu, les tableaux de bord Quick Sight peuvent visualiser des données sensibles, et Quick Flows peut orchestrer les systèmes internes, le tout sans que vos données ne transitent par l'internet public. Les capacités d'IA restent inchangées. L'exposition est supprimée.

Pour la mise en œuvre, commencez par les VPC endpoints pour l'accès des utilisateurs et des API, et validez l'accès des utilisateurs avant de passer aux VPC connections pour l'accès aux sources de données. Activez les restrictions de VPC endpoint uniquement après avoir confirmé que tous les schémas d'accès fonctionnent via le chemin privé. Pour la configuration de la fédération d'identité et la configuration avancée de RLS/CLS, reportez-vous à la documentation d'IAM Identity Center.

À propos des auteurs