Utilisation d'AWS X-Ray avec des points de terminaison d'un VPC

Si vous utilisez Amazon Virtual Private Cloud (Amazon VPC) pour héberger votreAWSressources, vous pouvez établir une connexion privée entre votre VPC et X-Ray. Cela permet aux ressources de votre Amazon VPC de communiquer avec le service X-Ray sans passer par l'Internet public.

Amazon VPC est unService AWSque vous pouvez utiliser pour lancerAWSles ressources d'un réseau virtuel que vous définissez. Avec un VPC, vous contrôlez des paramètres réseau, tels que la plage d'adresses IP, les sous-réseaux, les tables de routage et les passerelles réseau. Pour connecter votre VPC à X-Ray, vous définissez unpoint de terminaison VPC d'interface. Le point de terminaison fournit une connectivité fiable et évolutive à X-Ray sans nécessiter de passerelle Internet, d'instance de traduction d'adresses réseau (NAT) ou de connexion VPN. Pour de plus amples informations, veuillez consulter Qu'est-ce qu'Amazon VPC ? dans le Guide de l'utilisateur Amazon VPC.

Les points de terminaison VPC d'interface sont alimentés parAWS PrivateLink, uneAWStechnologie qui permet une communication privée entreServices AWSen utilisant une interface réseau élastique avec des adresses IP privées. Pour plus d'informations, consultez leNouveau —AWS PrivateLinkpourServices AWSarticle de blog etCommencerdans leGuide de l'utilisateur Amazon VPC.

Pour vous assurer de pouvoir créer un point de terminaison VPC pour X-Ray dans votre choixRégion AWS, voirRégions prises en charge.

Création d'un point de terminaison VPC pour X-Ray

Pour commencer à utiliser X-Ray avec votre VPC, créez un point de terminaison VPC d'interface pour X-Ray.

1. Ouvrez la console Amazon VPC à l'adresse https://console.aws.amazon.com/vpc/.

2. Naviguez versPoints de terminaisondans le volet de navigation et choisissezCréer un terminal.

3. Recherchez et sélectionnez le nom duAWS X-Rayservice :com.amazonaws.region.xray.

   

4. Sélectionnez le VPC de votre choix, puis sélectionnez un sous-réseau dans votre VPC pour utiliser le point de terminaison de l'interface. Une interface réseau de point de terminaison est créée dans le sous-réseau sélectionné. Vous pouvez spécifier plusieurs sous-réseaux dans différentes zones de disponibilité (telles que prises en charge par le service) afin de vous assurer que le point de terminaison de votre interface résiste aux défaillances des zones de disponibilité. Dans ce cas, une interface réseau est créée dans chaque sous-réseau que vous spécifiez.

   

5. (Facultatif) Le DNS privé est activé par défaut pour le point de terminaison, afin que vous puissiez envoyer des demandes à X-Ray en utilisant son nom d'hôte DNS par défaut. Vous pouvez choisir de le désactiver.

6. Spécifiez les groupes de sécurité à associer à l'interface réseau du point de terminaison.

   

7. (Facultatif) Spécifiez une politique personnalisée pour contrôler les autorisations d'accès au service X-Ray. Par défaut, l'accès complet est autorisé.

Contrôle de l'accès à votre point de terminaison X-Ray VPC

Une stratégie de point de terminaison d'un VPC est une stratégie de ressource IAM que vous attachez à un point de terminaison lorsque vous le créez ou le modifiez. Si vous n'attachez pas de stratégie quand vous créez un point de terminaison, Amazon VPC attache une stratégie par défaut pour vous qui autorise un accès total au service. Une politique de point de terminaison n'annule pas et ne remplace pas les politiques utilisateur IAM ou les politiques propres au service. Il s'agit d'une politique distincte qui contrôle l'accès depuis le point de terminaison jusqu'au service spécifié. Les politiques de point de terminaison doivent être écrites au format JSON. Pour en savoir plus, consultez Contrôle de l'accès aux services avec des points de terminaison d'un VPC dans le guide de l'utilisateur Amazon VPC.

La politique des points de terminaison VPC vous permet de contrôler les autorisations relatives à diverses actions X-Ray. Par exemple, vous pouvez créer une politique pour autoriser uniquementPutTraceSegmentet niez toutes les autres actions. Cela empêche les charges de travail et les services du VPC d'envoyer uniquement des données de suivi à X-Ray et de refuser toute autre action telle que la récupération de données, la modification de la configuration de chiffrement ou la création/mise à jour de groupes.

Voici un exemple de politique de point de terminaison pour X-Ray. Cette politique permet aux utilisateurs qui se connectent à X-Ray via le VPC d'envoyer des données de segment à X-Ray, et les empêche également d'effectuer d'autres actions X-Ray.

 {"Statement": [
     {"Sid": "Allow PutTraceSegments",
       "Principal": "*",
       "Action": [
         "xray:PutTraceSegments"
       ],
       "Effect": "Allow",
       "Resource": "*"
     }
   ]
 }

Pour modifier la politique de point de terminaison VPC pour X-Ray

1. Ouvrez la console Amazon VPC à l'adresse https://console.aws.amazon.com/vpc/.

2. Dans le panneau de navigation, choisissez Points de terminaison.

3. Si vous n'avez pas encore créé le point de terminaison pour X-Ray, suivez les étapes décrites dansCréation d'un point de terminaison VPC pour X-Ray.

4. Sélectionnez lecom.amazonaws.région.xraypoint de terminaison, puis choisissez lePolitiqueonglet.

5. Choisissez Edit Policy (Modifier la politique), puis apportez vos modifications.

Régions prises en charge

X-Ray prend actuellement en charge les points de terminaison VPC dans les domaines suivantsRégions AWS:

• USA Est (Ohio)

• USA Est (Virginie du Nord)

• USA Ouest (Californie du Nord)

• USA Ouest (Oregon)

• Africa (Cape Town)

• Asie-Pacifique (Hong Kong)

• Asia Pacific (Mumbai)

• Asia Pacific (Osaka)

• Asia Pacific (Seoul)

• Asie-Pacifique (Singapour)

• Asie-Pacifique (Sydney)

• Asie-Pacifique (Tokyo)

• Canada (Centre)

• Europe (Francfort)

• Europe (Irlande)

• Europe (Londres)

• Europe (Milan)

• Europe (Paris)

• Europe (Stockholm)

• Moyen-Orient (Bahreïn)

• Amérique du Sud (São Paulo)

• AWS GovCloud(USA Est)

• AWS GovCloud(US-Ouest)