将 AWS X-Ray 与 VPC 端点结合使用

如果您使用 Amazon Virtual Private Cloud (Amazon VPC) 托管 AWS 资源，则可以在您的 VPC 和 X-Ray 之间建立私有连接。这让 Amazon VPC 中的资源能够与 X-Ray 服务进行通信而不用访问公共互联网。

Amazon VPC 是一项 AWS 服务，可用来启动在虚拟网络中定义的 AWS 资源。借助 VPC，您可以控制您的网络设置，如 IP 地址范围、子网、路由表和网络网关。要将 VPC 连接到 X-Ray，请定义一个接口 VPC 端点。该端点提供了到 X-Ray 的可靠、可扩展的连接，无需 Internet 网关、网络地址转换 (NAT) 实例或 VPN 连接。有关更多信息，请参阅《Amazon VPC 用户指南》中的什么是 Amazon VPC。

接口 VPC 端点由 AWS PrivateLink 提供支持，后者是一种AWS技术，可将弹性网络接口与私有 IP 地址结合使用来支持AWS 服务之间的私有通信。有关更多信息，请参阅《Amazon VPC 用户指南》中的新功能 - 适用于 AWS 服务 的 AWS PrivateLink 博客文章和入门。

如需确保可以为选择的 AWS 区域 中 X-Ray 创建 VPC 端点，请参阅支持的区域。

为 X-Ray 创建 VPC 端点

要开始将您的 X-Ray 与 VPC 一起使用，请为 X-Ray 创建接口 VPC 端点。

控制对 X-Ray VPC 端点的访问

VPC 端点策略是一种 IAM 资源策略，您在创建或修改端点时可将它附加到端点。如果您在创建端点时未附加策略，Amazon VPC 会为您附加一个默认策略，该策略允许对服务的完全访问。端点策略不会覆盖或替换 IAM 用户策略或服务特定的策略。这是一个单独的策略，用于控制从端点中对指定服务进行的访问。端点策略必须采用 JSON 格式编写。有关更多信息，请参阅《Amazon VPC 用户指南》中的使用 VPC 端点控制对服务的访问权限。

VPC 端点策略让您可以控制对多种 X-Ray 操作的权限。例如，可以创建一个策略仅允许 PutTraceSegment 并拒绝所有其他操作。这会限制 VPC 中的工作负载和服务仅将跟踪数据发送给 X-Ray，并拒绝检索数据、更改加密配置或创建/更新组等任何其他操作。

下面是用于 X-Ray 的端点策略示例。该策略允许通过 VPC 连接到 X-Ray 的用户将分段数据发送到 X-Ray，还禁止他们执行其他 X-Ray 操作。

 {"Statement": [
     {"Sid": "Allow PutTraceSegments",
       "Principal": "*",
       "Action": [
         "xray:PutTraceSegments"
       ],
       "Effect": "Allow",
       "Resource": "*"
     }
   ]
 }

支持的区域

X-Ray 当前在以下AWS 区域中支持 VPC 端点：