为何未显式指定endpoint_url时，无法通过PrivateLink访问Timestream？

Timestream的Ingest VPC端点是Cell特定的设计，仅对应ingest-cellX.timestream.<region>.amazonaws.com这类域名，而boto3默认使用的通用端点ingest.timestream.<region>.amazonaws.com是专门用于端点发现（即describe_endpoints接口）的，该通用端点没有对应的VPC端点支持。

这就导致两个核心问题：

1. 私有子网内无NAT时，实例访问通用端点会因为无法连接公网而挂起；
2. 直接指定Cell端点时，describe_endpoints接口会报错——因为Cell端点本身不提供端点发现服务，仅处理读写、数据库查询等常规Timestream操作。

另外，修改/etc/hosts映射通用端点到VPC IP无效的原因是：VPC端点仅处理Cell特定域名的请求，通用端点的服务逻辑不存在于VPC端点上，即使强制解析也无法正常响应请求。

方案1：禁用端点发现，直接使用Cell端点 #

既然Cell端点可正常处理除describe_endpoints外的所有核心操作，可直接指定Cell端点并禁用boto3的自动端点发现功能：

import boto3
# 替换为你的VPC端点对应的Cell域名
ts_client = boto3.client(
    'timestream-write',
    endpoint_url='https://ingest-cell2.timestream.us-east-1.amazonaws.com',
    endpoint_discovery=False
)

# 常规操作可正常执行
ts_client.describe_database(DatabaseName='dbName')
# 注意：不要调用describe_endpoints，该接口仅支持通用公网端点

方案2：临时通过NAT获取端点列表，复用Cell端点 #

如果需要动态获取Cell端点（避免硬编码），可先在有NAT访问权限的环境中调用一次describe_endpoints获取可用Cell列表，后续在私有子网的客户端中直接使用这些Cell端点：

# 有NAT权限的环境执行，获取端点
import boto3
temp_client = boto3.client('timestream-write')
endpoints = temp_client.describe_endpoints()['Endpoints']
# 保存端点列表，比如写入配置文件
# 示例输出：[{'Address': 'ingest-cell2.timestream.us-east-1.amazonaws.com', ...}]

# 私有子网环境使用
ts_client = boto3.client(
    'timestream-write',
    endpoint_url=f"https://{endpoints[0]['Address']}",
    endpoint_discovery=False
)

方案3：保留NAT用于端点发现，其余请求走VPC端点 #

如果允许实例临时访问公网获取端点，可保留NAT网关用于describe_endpoints调用，后续boto3会自动使用返回的Cell端点（此时Cell端点会通过VPC解析到私有IP）：

• 确保VPC端点的私有DNS名称已启用（创建端点时默认勾选，可在VPC控制台端点详情中确认）；
• 实例安全组允许出站访问Timestream通用端点的443端口（仅用于端点发现）；
• 无需手动指定endpoint_url，boto3会自动完成端点发现并切换到Cell端点。

• 确认VPC端点的“私有DNS名称”已启用：VPC控制台 → 端点 → 目标Timestream ingest端点 → 详情页查看“Enable private DNS name”状态；
• 确认VPC端点的安全组允许实例的443端口入站；
• 确认实例所在子网的路由表已添加VPC端点的路由条目（创建端点时自动添加，无需手动配置）。

内容的提问来源于stack exchange，提问作者AKiss