Amazon Quick em rede privada: os dois planos do PrivateLink e onde eles vazam

Enquanto o Quick era só BI, a VPC connection servia para o Quick Sight ler PostgreSQL, SQL Server ou Oracle atrás de um Direct Connect. O problema era conhecido e o blast radius cabia num dashboard. O que mudou é quem usa essa mesma VPC connection. Agora passam por ela Quick Agents chamando servidores MCP hospedados na sua rede, Quick Flows e Quick Automate acionando action connectors, Quick Research e Apps in Quick buscando fontes privadas. A ENI que antes fazia SELECT para um painel agora carrega chamada de ferramenta de um agente.

Em ambiente financeiro isso pesa em dois lugares. Regulação: a Resolução CMN 4.893 e o PCI-DSS pedem que você mostre o caminho do dado e controle quem entra no perímetro. O post da AWS cita HIPAA, FedRAMP e PCI-DSS como gatilhos típicos. Auditoria: "o tráfego fica no backbone da AWS" só vale como evidência se você souber dizer quais domínios ainda saem por NAT, e eles existem.

O post de 21/10/2026 é um bom passo a passo. O que ele não faz, e não é papel dele, é dizer onde cada controle para de valer. É disso que este texto trata: os limites documentados de cada camada e o custo de manter isso funcionando por anos, não o de montar uma vez.

A entrada usa dois endpoints de interface com papéis diferentes: com.amazonaws.<region>.quicksight-website para o site e com.amazonaws.<region>.quicksight para a API (com variante -fips). Se administradores entram como usuário IAM, entram também console e signin. Coloque cada um em pelo menos duas AZs, com security group aceitando só 443 a partir do CIDR corporativo.

DNS é onde a primeira coisa quebra. O endpoint da API, com private DNS ligado, assume quicksight.<region>.amazonaws.com sozinho. O do site não: o nome privado dele não é a URL pública. Você cria uma private hosted zone para <region>.quicksight.aws.amazon.com, com registro A alias apontando para o endpoint. Só que a private hosted zone responde apenas a VPCs associadas, então o DNS corporativo precisa encaminhar essa zona para um Route 53 Resolver inbound endpoint. Sem esse forward, o navegador resolve o IP público, o acesso funciona e ninguém percebe que o PrivateLink está sendo contornado. Teste com nslookup de dentro da rede corporativa e espere um IP do CIDR da VPC.

A política do endpoint do site é quase decorativa. Principal, Action e Resource precisam ser "*", e a condição só aceita aws:PrincipalAccount ou aws:OrgId. Ela impede que a sua rede vire porta de entrada para o Quick de outra conta, o que é útil contra exfiltração, mas não controla o que o usuário faz. O endpoint da API aceita restrição por ação, e é ali que vale ser específico.

Quando o Quick precisa buscar dado, ele não passa pelo endpoint de interface. Ao criar uma VPC connection (só no Enterprise), você entrega VPC ID, pelo menos duas subnets em AZs diferentes, ao menos um security group e uma execution role que confia em quicksight.amazonaws.com. O Quick assume essa role e cria ENIs nas suas subnets com ec2:CreateNetworkInterface. Daí em diante vale a sua rede: route table, NACL, security group e a rota do Direct Connect.

Três detalhes viram incidente se você não souber deles. O VPC ID não muda depois da criação: reorganizar a rede significa recriar a conexão e reapontar cada data source. O status PARTIALLY AVAILABLE indica uma ENI fora com a conexão ainda funcionando. É exatamente o estado que ninguém monitora até a segunda AZ cair. Conexões criadas antes de 27/04/2023 usam security group não stateful e precisam de regra de entrada liberando o retorno em todas as portas (0–65535) a partir do SG da fonte. Se a sua ainda é dessa época, recrie.

Para nomes de banco on-premises, informe os IPs do Resolver inbound no campo de DNS resolver endpoints. Sem isso o Quick resolve pelo DNS público e não acha o host. Credenciais vão para o Secrets Manager por endpoint de interface na mesma VPC das ENIs, para que nem a busca da senha saia pela NAT.

Uma limitação muda o desenho: a VPC connection de knowledge base do Quick Index hoje só aceita Amazon Redshift. Confluence, SharePoint, Box, Google Drive, OneDrive e S3 não passam por ela.

A restrição de IP/VPC do Quick (update-ip-restriction --enabled --vpc-endpoint-id-restriction-rule-map vpce-...=Nome) bloqueia o que não vem do endpoint aprovado. Ela tem quatro propriedades que você precisa conhecer antes de ligar em produção.

Cobre web, embedded e mobile, mas não a API pública. Quem tem credencial chama qualquer operação de qualquer IP. Para a API o controle é IAM: uma condição aws:SourceVpce ou aws:SourceIp em policy de deny, de preferência numa SCP. Aqui está a pegadinha: 13 APIs não funcionam pelo endpoint de interface (as 8 de action connector, como CreateActionConnector, e 5 de Flows, como ListFlows). Um deny geral por aws:SourceVpce quebra a automação que gerencia conectores. Você escreve a exceção com NotAction para essas operações e roda essa automação de um caminho controlado com saída pública.

UpdateIpRestriction substitui o mapa inteiro. Script que manda só a regra nova apaga as outras. Faça describe-ip-restriction antes, ou melhor, mantenha o mapa versionado e aplique sempre o estado completo.

A regra leva até 10 minutos para valer e é global, aplicada em todas as regiões e gerenciada só pela região da conta. O limite é de 100 regras somadas, com IP e VPC combinados por OR.

Lockout é real. Sem regra cobrindo o seu próprio acesso, o console não deixa salvar. Mas quem estava numa origem fora da lista perde o acesso no momento em que você liga. Dashboards com embed público passam a funcionar só pelo endpoint.

A documentação lista os domínios que o navegador acessa, e vários não têm endpoint: .cloudfront.net (CSS e JS), .execute-api.<region>.amazonaws.com (métricas do cliente), *.kinesisvideo.amazonaws.com (streaming das automações), <region>.signin.aws e, com IAM Identity Center, o login pelo navegador, que exige os endpoints públicos de sign-in e do Identity Center. Não precisa de IP público, mas precisa de NAT ou proxy. O seu relatório de compliance deve dizer "o caminho de dados e de API é privado; assets estáticos, telemetria e autenticação saem por proxy inspecionado". Escrever "zero internet" é afirmar algo que a própria documentação desmente.

Agora o custo recorrente, em us-east-1. Endpoint de interface custa US$ 0,01 por hora por ENI, mais US$ 0,01 por GB nos primeiros 1 PB. Site e API em 2 AZs são 4 ENIs, cerca de US$ 29/mês. Somando console e signin, mais US$ 29. Secrets Manager, Redshift e Glue em 2 AZs, mais uns US$ 44. A peça mais cara é a que ninguém orça: o Resolver inbound endpoint custa US$ 0,125 por ENI por hora, com no mínimo duas, ou cerca de US$ 182/mês, mais US$ 0,40 por milhão de consultas. Se você já tem um Resolver inbound compartilhado numa VPC de rede central, reaproveite: é o maior item da conta e não tem nada de específico do Quick.