使用 Amazon X-Ray 使用 VPC 端点

如果您使用亚马逊虚拟私有云 (Amazon VPC) 托管 Amazon 资源，则可以在 VPC 和之间建立私有连接 X-Ray。这使您的 Amazon VPC 中的资源无需通过公共互联网即可与 X-Ray 服务通信。

Amazon VPC 可用于在您定义的虚拟网络中启动 Amazon 资源。 Amazon Web Services 服务 借助 VPC，您可以控制您的网络设置，如 IP 地址范围、子网、路由表和网络网关。要将您的 VPC 连接到 X-Ray，您需要定义一个接口 VPC 终端节点。该终端节点 X-Ray 无需互联网网关、网络地址转换 (NAT) 实例或 VPN 连接即可提供可靠、可扩展的连接。有关更多信息，请参阅《Amazon VPC 用户指南》中的什么是 Amazon VPC。

接口 VPC 终端节点由 Amazon PrivateLink该 Amazon 技术提供支持，该技术 Amazon Web Services 服务 通过使用带有私有 IP 地址的弹性网络接口实现私有通信。有关更多信息，请参阅 Amazon Web Services 服务博客文章的新增内容 Amazon PrivateLink 和 Amazon VPC 用户指南中的入门指南。

为确保您可以在所选 X-Ray 中为创建 VPC 终端节点 Amazon Web Services 区域，请参阅支持的区域：。

为创建 VPC 终端节点 X-Ray

要开始在您的 VPC 中 X-Ray 使用，请为创建一个接口 VPC 终端节点 X-Ray。

控制对您的 X-Ray VPC 终端节点的访问权限

VPC 端点策略是一种 IAM 资源策略，您在创建或修改端点时可将它附加到端点。如果您在创建端点时未附加策略，Amazon VPC 会为您附加一个默认策略，该策略允许对服务的完全访问。端点策略不会覆盖或替换 IAM 用户策略或服务特定的策略。这是一个单独的策略，用于控制从端点中对指定服务进行的访问。端点策略必须采用 JSON 格式编写。有关更多信息，请参阅《Amazon VPC 用户指南》中的使用 VPC 端点控制对服务的访问权限。

VPC 终端节点策略使您能够控制各种 X-Ray 操作的权限。例如，您可以创建仅允许 PutTraceSegment 和拒绝所有其他操作的策略。这限制 VPC 中的工作负载和服务仅向其发送跟踪数据， X-Ray 并拒绝任何其他操作，例如检索数据、更改加密配置或 create/update 群组。

以下是的端点策略示例 X-Ray。此策略允许 X-Ray通过 VPC 连接的用户向发送分段数据 X-Ray，还可以防止他们执行其他 X-Ray 操作。

 {"Statement": [
     {"Sid": "Allow PutTraceSegments",
       "Principal": "*",
       "Action": [
         "xray:PutTraceSegments"
       ],
       "Effect": "Allow",
       "Resource": "*"
     }
   ]
 }

支持的区域：

X-Ray 目前支持以下 VPC 终端节点 Amazon Web Services 区域：