一句话结论
AWS 支持 QuickSight 通过 VPC 端点实现全私有访问，企业内网数据调用不再经公网，成本为零。
关键要点
- 用户侧流量与数据获取流量分离，前者通过接口型 VPC 端点处理，完全私有访问需两个端点。
- 2023 年 4 月 27 日前创建的 VPC 连接安全组为非有状态，需显式放行 0-65535 端口返回流量。
- 13 个 API（8 个 Action Connector 与 5 个 Flow API）不支持 API VPC 端点访问。
- 网站端点策略 Principal、Action、Resource 必须设为通配符，仅允许基于账户或组织 ID 的条件约束。
- QuickSight 企业版 VPC 连接本身无额外费用，S3 网关端点亦不收费，NAT 网关每小时 0.045 美元。
背景与事实
Amazon QuickSight 的数据访问架构将流量分为两类：用户侧流量与数据获取流量。用户侧流量通过由 AWS PrivateLink 支持的 VPC 端点处理，避免数据经过公共互联网；数据获取流量则通过 VPC 连接处理，涉及网络架构决策，前置条件为建立 AWS Direct Connect 或 Site-to-Site VPN 专线连接。所需 IAM 权限涵盖 quicksight 系列操作及 ec2、iam 相关权限，其中 iam:PassRole 权限须限定于 VPC 连接执行角色。
在部署层面，VPC 端点须与 QuickSight 部署区域保持一致，端点的弹性网络接口（ENI）需部署在跨多个可用性区且具备本地路由的子网中。实现完全私有访问需要配置两个接口型 VPC 端点：网站端点需创建 A 记录指向 .quicksight.aws.amazon.com，API 端点需启用私有 DNS。值得注意的是，13 个 API 不支持通过 API VPC 端点访问，包括 8 个 Action Connector 和 5 个 Flow API。网站端点策略的 Principal、Action、Resource 字段必须设置为通配符，条件仅限基于 aws:PrincipalAccount 或 aws:OrgId 的判断。若需私有化路由至 S3、Redshift、Athena 等服务，需额外配置对应端点：S3 采用网关端点，其余服务采用接口端点。
VPC 连接用于 QuickSight 访问私有资源，创建时在指定子网中部署 ENI。一个重要的时间节点是 2023 年 4 月 27 日：此前创建的连接安全组为非有状态模式，需显式允许 0-65535 端口的返回流量；此后创建的连接采用标准有状态行为。IAM 角色信任主体需指定 quicksight.amazonaws.com。
身份管理方面，QuickSight 采用 IAM Identity Center，通过 SAML 2.0 认证及 SCIM 2.0 预配用户。支持用户、角色、账户级三层自定义权限配置，优先级为用户级高于角色级高于账户级。行级安全性（RLS）和列级安全性（CLS）适用于仪表板及 AI 查询场景。网络限制可通过 IP 或 VPC 端点 ID 实施，基于 aws:SourceIp 或 aws:SourceVpce 条件。UpdateIpRestriction CLI 指令会替换整个规则映射而非增量更新。部分域名如 Google Drive、Microsoft 365 无 VPC 端点支持，需通过出站代理或 NAT 网关处理；静态资源 *.cloudfront.net 及 S3 也需代理或端点访问。成本方面，VPC 接口终端节点计费为每小时 0.01 美元/可用区加每 GB 0.01 美元；NAT 网关为每小时 0.045 美元加每 GB 0.045 美元；S3 网关终端节点及 QuickSight 企业版 VPC 连接无额外费用。验证私有访问需检查 DNS 解析为私有 IP、API 调用及数据源连接状态，监控建议启用 VPC 流日志及 CloudWatch 指标警报。
影响分析
对于中文开发者与企业数据团队，这一架构明确了 QuickSight 全私有访问的实施路径与成本边界。核心影响在于：数据流量不再强制经过公共互联网，企业合规与数据安全门槛显著降低，尤其适合受数据出境限制或内网隔离政策约束的行业。成本结构上，VPC 连接本身免费、S3 网关端点免费，主要成本集中在接口端点与 NAT 网关的按量计费，企业可据此预估月度支出。但需注意，13 个 API 无法通过端点访问，依赖这些功能的自动化工作流需额外规划网络出口；Google Drive、Microsoft 365 等无端点支持的源仍需 NAT 或代理，并非真正“全私有”。这要求企业在架构设计阶段就区分“可私有化”与“必须公网”的数据源，避免部署后才发现部分集成无法闭环。
适用边界
该全私有架构仅适用于 QuickSight 企业版，且要求数据源位于同一 AWS 区域或通过 Direct Connect、Site-to-Site VPN 可达。若企业数据源分布在多个区域或依赖无 VPC 端点支持的第三方 SaaS（如 Google Drive、Microsoft 365），则无法实现完全私有访问，仍需保留 NAT 网关或出站代理。此外，2023 年 4 月 27 日前创建的 VPC 连接存在安全组行为差异，升级或迁移时需重新配置入站与出站规则。
孤本观察
从来源信息看，AWS 将“免费”标签集中在 VPC 连接与 S3 网关端点，而将计费压力转移至接口端点与 NAT 网关的按量维度，这既降低了入门门槛，也暗示高可用区部署规模下的成本线性增长不可忽略。判断上，企业若长期依赖大量私有数据源并跨多可用区部署，NAT 网关的每小时固定费用可能成为隐性成本大头。
常见问题
实现 QuickSight 全私有访问需要配置几个 VPC 端点？
需要配置两个接口型 VPC 端点，分别对应网站端点和 API 端点。
哪些 QuickSight API 不支持通过 VPC 端点访问？
13 个 API 不支持，包括 8 个 Action Connector 和 5 个 Flow API。
2023 年 4 月 27 日前创建的 VPC 连接安全组有何特殊要求？
该日前的连接安全组为非有状态，需显式放行 0-65535 端口的返回流量。
使用 NAT 网关和 S3 网关端点的成本分别是多少？
NAT 网关每小时 0.045 美元；S3 网关端点无额外费用。