Usar o AWS X-Ray com VPC endpoints

Se você usar o Amazon Virtual Private Cloud (Amazon VPC) para hospedar os recursos da AWS, poderá estabelecer uma conexão privada entre sua VPC e o X-Ray. Isso permite que os recursos do Amazon VPC se comuniquem com o serviço X-Ray sem passar pela internet pública.

A Amazon VPC é um AWS service (Serviço da AWS) que pode ser utilizado para iniciar os recursos da AWS em uma rede virtual definida por você. Com a VPC, você tem controle sobre as configurações de rede, como o intervalo de endereços IP, sub-redes, tabelas de rotas e gateways de rede. Para conectar a VPC ao X-Ray, defina uma interface do endpoint da VPC. O endpoint fornece uma conectividade confiável e escalável ao X-Ray sem a necessidade de um gateway da Internet, de uma instância de conversão de endereços de rede (NAT) ou de uma conexão VPN. Para obter mais informações, consulte O que é a Amazon VPC? no Manual do usuário da Amazon VPC.

Os endpoints da VPC de interface são viabilizados pelo AWS PrivateLink, uma tecnologia da AWS que permite a comunicação privada entre os Serviços da AWS usando uma interface de rede elástica com endereços IP privados. Para obter mais informações, consulte a publicação de blog Apresentação do AWS PrivateLink para Serviços da AWS e Conceitos básicos do Manual do usuário do Amazon VPC.

Para garantir que você possa criar um endpoint da VPC para X-Ray na Região da AWS escolhida, consulte Supported Regions (Regiões compatíveis).

Criar um endpoint da VPC para o X-Ray

Para começar a usar o X-Ray com a VPC, crie um endpoint da VPC para o X-Ray.

Controlar o acesso ao endpoint da VPC do X-Ray

Uma política de VPC endpoint é uma política de recursos do IAM que você anexa a um endpoint quando cria ou modifica o endpoint. Se você não associar uma política ao criar um endpoint, a Amazon VPC associará uma política padrão que permita o acesso total ao serviço. Uma política de endpoint não substitui políticas de usuário do IAM nem políticas de serviço específicas. É uma política separada para controlar o acesso do endpoint ao serviço especificado. Políticas de endpoint devem ser gravadas em formato JSON. Para obter mais informações, consulte Controlar o acesso a serviços com VPC endpoints no Manual do usuário da Amazon VPC.

A política de endpoint da VPC permite que você controle permissões para várias ações do X-Ray. Por exemplo, você pode criar uma política para permitir somente PutTraceSegment e negar todas as outras ações. Isso restringe workloads e serviços na VPC para que enviem somente dados de rastreamento para o X-Ray e neguem qualquer outra ação, como recuperar dados, alterar a configuração de criptografia ou criar e atualizar grupos.

Veja a seguir um exemplo de uma política de endpoint para o X-Ray. Essa política permite que os usuários que se conectam ao X-Ray por meio da VPC enviem dados de segmento ao X-Ray e também os impede de executar outras ações do X-Ray.

 {"Statement": [
     {"Sid": "Allow PutTraceSegments",
       "Principal": "*",
       "Action": [
         "xray:PutTraceSegments"
       ],
       "Effect": "Allow",
       "Resource": "*"
     }
   ]
 }

Supported Regions (Regiões compatíveis)

No momento, o X-Ray comporta endpoints da VPC nas seguintes Regiões da AWS: