一、了解 Salesforce Private Connect for AWS（01 Discover Salesforce Private Connect for AWS）
本单元介绍 Salesforce Private Connect 功能及其工作原理：它如何在 Salesforce 与 AWS 之间建立安全、专用的网络连接，如何简化设置与维护，如何支持双向数据流，以及它的基础架构。学完本单元你将能够：
- 描述 Salesforce Private Connect 功能；
- 理解 Salesforce Private Connect 的功能特性。
正如 Salesforce 联合创始人 Parker Harris 所说：没有比客户数据的隐私更重要的事。
安全集成 Web 与应用层 + 专用安全连接（Securely Integrate & A Dedicated Secure Connection）
很多客户把 Amazon Web Services（AWS） 作为云层、把 Salesforce 作为应用层。Private Connect 无缝桥接这两层，提供统一、安全的体验。它直接把 Salesforce 的第一方数据中心与 AWS 区域相连，让你的跨云通信既安全又私密——创建 Salesforce org 与 AWS 内托管数据之间的连接后，就能轻松路由 HTTP/s 流量，使其免受公网威胁。
作为管理员，你努力集成各种云应用以打造公司的单一数据源。但集成本身有固有风险：数据跨云流动越多，就越暴露在公网的威胁与漏洞中。
可以把数据想成货轮，把集成想成临时停靠的港口。货轮离开主港（你的 Salesforce org）驶向另一个港（不同云里的集成应用）时，会在大海上漂泊数月，暴露于坏天气和海盗的威胁。同理，数据流量在云间传输时也暴露于各种公网威胁。你当然会努力保护货轮——配备顶级救生艇和高品质合金——但那往往意味着大量工作，对应到集成上就是大量代码。
但有没有一种更省力的方案？如果港口之间的通道是私有的、有人守护的——就像数据的"巴拿马运河"？这就是 Private Connect 的价值。
简化的设置与维护（Streamlined Setup & Maintenance）
Private Connect 是一项简单的安全措施，在外部端点服务与 Salesforce org 之间建立一条安全的、私有的网络连接。它通过专用网络连接而非公网，私密地路由 Salesforce 与外部端点服务之间的所有流量，从而减少公网威胁暴露。
工作原理：在 Private Connect Setup 节点中指定网络连接详情；连接在两端配置完成后，被识别的流量就会自动重定向到该连接。作为管理员，你对可用的连接选项拥有完全控制权；想要拆除连接，只需一次点击即可。
双向数据流（It Goes Both Ways: Bidirectional Data Flow）
Private Connect 支持 API 的双向访问：既可以从 Salesforce 向外部端点服务发起数据调用，也可以从外部端点调用 Salesforce 的核心 API，包括 SOAP、REST 和 Bulk。
- 当调用从 Salesforce 发出到外部端点服务时，这类连接称为出站（outbound）；
- 当调用从外部端点进入 Salesforce 时，这类连接称为入站（inbound）。
如果你的专长在外部端点，可以设置一个入站 Private Connection，从外部端点安全接收 Salesforce 的数据；如果你是 Salesforce 管理员，则可以设置一个出站 Private Connection，从 Salesforce 向外部端点服务安全地拉取数据。此外，通过我们与 AWS 的联合合作，Private Connect 还通过 Amazon AppFlow（一项全托管集成服务）提供，让你能在 Salesforce 与 Amazon S3、Amazon Redshift 等 AWS 服务之间安全传输数据。
基础架构（Basic Architecture）
要搭建与 Salesforce 第一方数据中心的安全骨干，我们创建了可在各种云环境之间运行的云原生接口（CNI）层。CNI 层由多个组件构成，其中最重要的是虚拟私有云（VPC）。
VPC 是大型 AWS 云中 Salesforce 托管受管资源的隔离区域，也被称为 Transit VPC，因为它们充当 HTTP/s 流量流经的代理。每个受支持的 AWS 区域都有一个入站 Transit VPC和一个出站 Transit VPC。
流程是：客户先用 AWS 的 PrivateLink 功能把自己的 VPC 连到 Transit VPC，再在 Salesforce 中创建私有连接，把 org 连到 Transit VPC。最终形成一条从你的 VPC 到 Transit VPC、再到 Salesforce org 的"电话线"。
如上图所示，左侧是 AWS 云，右侧是 Salesforce org，中间由 Salesforce Private Connect 相连。
私有连接的设置直接在 Salesforce Setup 页面完成：在 Security 节点下，有一个专门为 Private Connect 打造的 Setup 体验。需要连接多个 VPC，可以创建多条私有连接。
你可能好奇：入站和出站 VPC 有何不同？为什么一条链路不能双向流？简化的解释是：向 Salesforce 发送流量与从 Salesforce 发出流量需要不同的设置流程。配置要求连接的接收端被正确配置以接受并放行入站流量，确保它来自已验证的来源。因此，出站连接（AWS 是接收端）的配置，与入站连接（Salesforce 是接收端）的配置不同。
入站方向：假设你的企业资源管理（ERP）软件在 AWS 中。仓库员工在 ERP 中对潜在新产品进行盘点时，你希望这些变更尽快推送到 Salesforce，让销售团队能销售该产品。这时入站连接就派上用场——你要从 AWS 调用 Salesforce REST API 来填充产品对象，HTTP/s 流量通过入站连接安全发送。在 Amazon VPC 中，用 Amazon Route53 把 org 的 My Domain 映射到 VPC 内端点的 IP 地址，这样 VPC 内经过已注册端点发送的任何变更都会被直接导向 Salesforce org，后续即可使用现有 Salesforce API，路由自动完成。
出站方向：假设你在 AWS 中有一个营销应用，构建营销活动需要 Salesforce org 里的账户和联系人数据。你可以通过出站连接安全地调用 AWS 中运行的端点服务，把成员加入活动。为支持此方向，Salesforce 在出站 Transit VPC 内代客户创建 PrivateLink 端点；客户需要用提供的 IAM 角色授权其 VPC 中的端点服务——IAM 角色是一个带权限策略的 AWS 身份，它把 Salesforce 管理的 PrivateLink 端点授权给客户 VPC 中的 PrivateLink 端点服务。取决于端点服务的配置，你可能还需要在端点服务中接受该 PrivateLink 端点后，流量才能通过。
总之，Salesforce 与 Amazon 深度合作，推出了面向 AWS 与 Salesforce 平台的专用解决方案，而 Private Connect 正是这一战略合作的关键成果——通过 Salesforce 与 AWS 之间的双向连接，让通信保持私密。