背景：AI 工具想揾數據，但數據喺防火牆後面

企業數據通常鎖喺公司防火牆後面，或者私有數據中心入面。問題就係，就算 AI agent 同儀錶板喺雲端，都未必有直接路徑去撳到呢啲數據。管理員要處理一個兩難：既想 AI 可以做分析同行動，又唔想敏感數據露喺公網。

AWS 喺 10 月 21 日喺官方 Machine Learning Blog 發布咗一個 walk-through（操作指南），講明點樣用 AWS PrivateLink 同 VPC endpoints，將企業內網（on-premises）數據源私有咁連去 Amazon Quick，令流量全程唔行公網。

點樣做到「唔行公網」

呢個方案嘅前提係：你已經有 AWS Direct Connect 或者 AWS Site-to-Site VPN 將你嘅內部環境同你嘅虛擬私有雲（VPC，Virtual Private Cloud）接埋。由個基礎度起，再配置由 AWS PrivateLink 驅動嘅 VPC endpoints，令 Amazon Quick 可以經 AWS 自家骨幹網（backbone）去揾你嘅私有資源。

AWS 解釋，行公網會帶三個問題：

  • 攻擊面（attack surface）變大
  • 審計記錄（audit trail）難搞
  • 延遲（latency）唔穩定，影響用户體驗

此外，HIPAA、FedRAMP、PCI-DSS 等監管框架，好多時都要求敏感數據必須留在受控網絡範圍內。

兩條數據路徑

按 AWS 嘅説明，Amazon Quick 入面嘅數據存取分兩條路：

第一條：用户端流量（user-facing）。包括任何人開啟 Quick console、用儀錶板、做 API 呼叫、或者用 Quick Desktop。呢啲全部經 VPC endpoints 行，用户 session 唔會落到公網。

第二條：數據拉取流量（data-fetching）。即係 Quick 自己入你網絡去拉數據，呢條路係架構決定嘅主戰場，涉及幾個組件：

  • Amazon Quick Sight：直接經置於 VPC 入面嘅 ENI（Elastic Network Interface）去查詢 on-premises 數據庫，包括 PostgreSQL、MySQL、SQL Server、Oracle 等，係 VPC connections 入面用嘥最多嘅。
  • Amazon Quick Flows 同 Amazon Quick Automate：兩個獨立自動化功能。Flows 處理重複性任務，Automate 處理需要人工介入嘅多系統編排（human-in-the-loop）。兩者都會調用 action connectors，包括喺 VPC 內私有託管嘅 MCP server（Model Context Protocol，模型上下文協議）。任何呼叫內部 API 嘅工作流程都經呢條路。
  • Quick Agents：支撐所有對話式交互，可以直接調用 action connectors。當自訂 agent 呼叫私有 MCP server 或內部 API，流量就經 VPC connection 行。
  • Amazon Quick Index：喺 Confluence、SharePoint、Amazon S3 等已連數據源之上建立統一搜尋層。

阿調搞兩下

嚟講人話：呢個指南解決嘅係一個「金主」永遠會問嘅問題——「我個 AI 仲未學識行公網，點樣先可以揾到我啲鎖喺機房入面嘅數據？」

答案就係：唔好行公網。用 PrivateLink 將兩頭喺 AWS 自家骨幹網接埋，數據始終唔出牆。呢個對於受監管行業（金融、醫療、政府）嚟講唔係「錦上添花」，係「唔做就唔合規」嘅底線。

值得留意嘅係，呢度係廠商嘅官方指南，唔係本站實測。AWS 未有提供獨立第三方測試數字。點樣配置、會唔會真係降低延遲、攻擊面縮小幾多，需要讀者按自身環境驗證。如果佢哋嘅 VPC endpoint 有定價或者額外流量費，呢篇冇提到，要用嘅話自己查。