将 Amazon X-Ray 与 VPC 终端节点结合使用

如果您使用Amazon Virtual Private Cloud Amazon VPC）托管Amazon资源，您可以在 VPC 和 X-Ray 这样，您的 Amazon VPC 上的资源就可以与 X-------------------Ray 服务进行通信

Amazon VPC 是一项 Amazon 服务，可用来启动在虚拟网络中定义的 Amazon 资源。借助 VPC，您可以控制您的网络设置，如 IP 地址范围、子网、路由表和网络网关。要将 VPC 连接到 X-Ray，请定义一个接口 VPC 终端节点. 该终端节点提供了到 X-Ray 的可靠、可扩展的连接，无需 Internet 网关、网络地址转换 (NAT) 实例或 VPN 连接。有关更多信息，请参阅 Amazon VPC 用户指南中的什么是 Amazon VPC。

接口 VPC 终端节点由Amazon PrivateLink，一个Amazon实现私人通信的技术Amazon服务通过使用具有私有 IP 地址的elastic network interface 来实现。有关更多信息，请参阅 。New!Amazon PrivateLink 为了Amazon服务博客帖子和开始使用中的Amazon VPC User Guide.

为确保您可以在所选的 X-Ray 中创建 VPC 终端节点Amazon区域，请参阅支持的区域.

为 X-Ray 创建

要开始在您的 VPC 中使用 X-Ray，请为 X-Ray 创建接口 VPC 终端节点。

控制对 X-Ray VPC 的访问

VPC 终端节点策略是一种 IAM 资源策略，您在创建或修改端点时可将它附加到端点。如果您在创建端点时未附加策略，Amazon VPC 会为您附加一个默认策略，该策略允许对服务的完全访问。端点策略不会覆盖或替换 IAM 用户策略或服务特定的策略。这是一个单独的策略，用于控制从终端节点中对指定服务进行的访问。终端节点策略必须采用 JSON 格式编写。有关更多信息，请参阅《Amazon VPC 用户指南》中的使用 VPC 终端节点控制对服务的访问。

VPC 终端节点策略允许您控制各种 X-Ray 操作的权限。例如，您可以创建一个策略，以仅允许 PutTraceSegment 并拒绝所有其他操作。这会限制 VPC 中的工作负载和服务仅向 X-Ray 发送跟踪数据并拒绝任何其他操作，例如检索数据、更改加密配置或创建/更新组。

下面是 X-Ray------------的终端节点策略示例。此策略允许通过 VPC 连接到 X-Ray 的用户将分段数据发送到 X-Ray，并阻止他们执行其他 X-Ray 操作。

 {"Statement": [
     {"Sid": "Allow PutTraceSegments",
       "Principal": "*",
       "Action": [
         "xray:PutTraceSegments"
       ],
       "Effect": "Allow",
       "Resource": "*"
     }
   ]
 }

支持的区域

X-Ray 当前在以下方面支持 VPC 终端Amazon区域：