Amazon X-Ray 基于身份的策略示例 - Amazon X-Ray
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

Amazon X-Ray 基于身份的策略示例

默认情况下,IAM 用户和角色没有创建或修改 X-Ray 资源的权限。它们还无法使用 Amazon Web Services Management Console、Amazon CLI 或 Amazon API 执行任务。IAM 管理员必须创建 IAM policy,以便为用户和角色授予权限以对所需的指定资源执行特定的 API 操作。然后,管理员必须将这些策略附加到需要这些权限的 IAM 用户或组。

要了解如何使用这些示例 JSON 策略文档创建 IAM 基于身份的策略,请参阅 IAM 用户指南 中的在 JSON 选项卡上创建策略

策略最佳实践

基于身份的策略确定某个人是否可以创建、访问或删除您账户中的 X-Ray 资源。这些操作可能会使 Amazon Web Services 账户 产生成本。创建或编辑基于身份的策略时,请遵循以下准则和建议:

  • Amazon 托管策略及转向最低权限许可入门 - 要开始向用户和工作负载授予权限,请使用 Amazon 托管策略来为许多常见使用场景授予权限。您可以在 Amazon Web Services 账户 中找到这些策略。我们建议通过定义特定于您的使用场景的 Amazon 客户管理型策略来进一步减少权限。有关更多信息,请参阅《IAM 用户指南》中的 Amazon 托管策略工作职能的 Amazon 托管策略

  • 应用最低权限 – 在使用 IAM 策略设置权限时,请仅授予执行任务所需的权限。为此,您可以定义在特定条件下可以对特定资源执行的操作,也称为最低权限许可。有关使用 IAM 应用权限的更多信息,请参阅《IAM 用户指南》中的 IAM 中的策略和权限

  • 使用 IAM 策略中的条件进一步限制访问权限 – 您可以向策略添加条件来限制对操作和资源的访问。例如,您可以编写策略条件来指定必须使用 SSL 发送所有请求。如果通过特定 Amazon Web Service(例如 Amazon CloudFormation)使用服务操作,您还可以使用条件来授予对服务操作的访问权限。有关更多信息,请参阅 。IAM JSON 策略元素:Condition在里面IAM 用户指南.

  • 使用 IAM Access Analyzer 验证您的 IAM 策略,以确保权限的安全性和功能性 – IAM Access Analyzer 会验证新策略和现有策略,以确保策略符合 IAM 策略语言 (JSON) 和 IAM 最佳实践。IAM Access Analyzer 提供 100 多项策略检查和可操作的建议,以帮助您制定安全且功能性强的策略。有关更多信息,请参阅《IAM 用户指南》中的 IAM Acess Analyzer 策略验证

  • 需要多重身份验证 (MFA) – 如果您的账户需要 IAM 用户或根用户,请启用 MFA 来提高安全性。若要在调用 API 操作时需要 MFA,请将 MFA 条件添加到您的策略中。有关更多信息,请参阅《IAM 用户指南》中的配置受 MFA 保护的 API 访问

有关 IAM 中的最佳实践的更多信息,请参阅《IAM 用户指南》中的 IAM 中的安全最佳实践

使用 X-Ray 控制台

要访问 Amazon X-Ray 控制台,您必须拥有一组最低的权限。这些权限必须允许您列出和查看有关您 X-Ray 资源的详细信息Amazon账户。如果您创建的基于身份的策略比所需的最低权限更严格,则无法为具有该策略的实体(IAM 用户或角色)正常运行控制台。

要确保这些实体仍可使用 X-Ray 控制台,也可附加以下Amazon对实体实施托管策略。有关更多信息,请参阅 IAM 用户指南中的为用户添加权限

AWSXrayReadOnlyAccess

对于只需要调用 Amazon CLI 或 Amazon API 的用户,无需为其提供最低控制台权限。相反,只允许访问与您尝试执行的 API 操作相匹配的操作。

允许用户查看他们自己的权限

该示例说明了您如何创建策略,以允许 IAM 用户查看附加到其用户身份的内联和托管式策略。此策略包括在控制台上完成此操作或者以编程方式使用 Amazon CLI 或 Amazon API 所需的权限。

{ "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] }

根据标签管理对 X-Ray 组和采样规则的访问权限

您可以在基于身份的策略中使用条件,以便基于标签控制对 X-Ray 组和采样规则的访问。以下示例策略可用于拒绝 IAM 用户角色创建、删除或更新带有标签的群组的权限stage:prod要么stage:preprod. 有关标记 X-Ray 采样规则和组的更多信息,请参阅。为 X-Ray 采样规则和组添加标签.

拒绝用户创建、更新或删除带有标签的群组的权限stage:prod要么stage:preprod,请使用策略类似于以下内容的策略向用户分配角色。

{ "Version": "2012-10-17", "Statement": [ { "Sid": "AllowAllXRay", "Effect": "Allow", "Action": "xray:*", "Resource": "*" }, { "Sid": "DenyCreateGroupWithStage", "Effect": "Deny", "Action": [ "xray:CreateGroup" ], "Resource": "*", "Condition": { "StringEquals": { "aws:RequestTag/stage": [ "preprod", "prod" ] } } }, { "Sid": "DenyUpdateGroupWithStage", "Effect": "Deny", "Action": [ "xray:UpdateGroup", "xray:DeleteGroup" ], "Resource": "*", "Condition": { "StringEquals": { "aws:ResourceTag/stage": [ "preprod", "prod" ] } } } ] }

要拒绝创建抽样规则,请使用aws:RequestTag表示无法作为创建请求的一部分传递的标签。要拒绝更新或删除抽样规则,请使用aws:ResourceTag以便根据对这些资源上的标签拒绝操作。

{ "Version": "2012-10-17", "Statement": [ { "Sid": "AllowAllXRay", "Effect": "Allow", "Action": "xray:*", "Resource": "*" }, { "Sid": "DenyCreateSamplingRuleWithStage", "Effect": "Deny", "Action": "xray:CreateSamplingRule", "Resource": "*", "Condition": { "StringEquals": { "aws:RequestTag/stage": [ "preprod", "prod" ] } } }, { "Sid": "DenyUpdateSamplingRuleWithStage", "Effect": "Deny", "Action": [ "xray:UpdateSamplingRule", "xray:DeleteSamplingRule" ], "Resource": "*", "Condition": { "StringEquals": { "aws:ResourceTag/stage": [ "preprod", "prod" ] } } } ] }

您可以将这些策略(或将它们合并为一个策略,然后附加策略)附加到您账户中的 IAM 用户。要让用户对组或抽样规则进行更改,不得标记该组或抽样规则stage=prepod要么stage=prod. 条件标签键 Stage 匹配 Stagestage,因为条件键名称不区分大小写。有关条件块的更多信息,请参阅。IAM JSON 策略元素:Condition在里面IAM 用户指南.

角色附加了以下策略的用户无法添加标签role:adminto resources,并且无法从资源删除标签role:admin与之相关。

{ "Version": "2012-10-17", "Statement": [ { "Sid": "AllowAllXRay", "Effect": "Allow", "Action": "xray:*", "Resource": "*" }, { "Sid": "DenyRequestTagAdmin", "Effect": "Deny", "Action": "xray:TagResource", "Resource": "*", "Condition": { "StringEquals": { "aws:RequestTag/role": "admin" } } }, { "Sid": "DenyResourceTagAdmin", "Effect": "Deny", "Action": "xray:UntagResource", "Resource": "*", "Condition": { "StringEquals": { "aws:ResourceTag/role": "admin" } } } ] }

IAM 托管X-Ray

为了便于授予权限,IAM 支持托管策略对于每项服务。服务在发布新 API 时可以使用新权限更新这些托管策略。Amazon X-Ray为只读、只写和管理员用例提供托管策略。

  • AWSXrayReadOnlyAccess— 使用 X-Ray 控制台的读取权限,Amazon CLI,或Amazon用于从 X-Ray API 获取跟踪数据和服务映射的 SDK。包括查看抽样规则的权限。

    { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "xray:GetSamplingRules", "xray:GetSamplingTargets", "xray:GetSamplingStatisticSummaries", "xray:BatchGetTraces", "xray:GetServiceGraph", "xray:GetTraceGraph", "xray:GetTraceSummaries", "xray:GetGroups", "xray:GetGroup", "xray:GetTimeSeriesServiceStatistics", "xray:GetInsightSummaries", "xray:GetInsight", "xray:GetInsightEvents", "xray:GetInsightImpactGraph" ], "Resource": [ "*" ] } ] }
  • AWSXRayDaemonWriteAccess— 使用 X-Ray 守护程序的写入权限,Amazon CLI,或Amazon用于将区段文档和遥测数据上传到 X-Ray API 的 SDK。包含获取的读取权限采样规则并报告抽样结果。

    { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "xray:PutTraceSegments", "xray:PutTelemetryRecords", "xray:GetSamplingRules", "xray:GetSamplingTargets", "xray:GetSamplingStatisticSummaries" ], "Resource": [ "*" ] } ] }
  • AWSXrayFullAccess— 使用所有 X-Ray API 的权限,包括读取权限、写入权限以及配置加密密钥设置和采样规则的权限。

    { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "xray:*" ], "Resource": [ "*" ] } ] }

将托管策略添加到 IAM 用户、组或角色

  1. 打开 IAM 控制台

  2. 打开与您的实例配置文件、IAM 用户或 IAM 组关联的角色。

  3. Permissions (权限) 下,附加托管策略。

在 IAM 策略中指定资源

您可以使用 IAM 策略控制对资源的访问。对于支持资源级权限的操作,您可以使用 Amazon Resource Name (ARN) 标识策略应用到的资源。

所有 X-Ray 操作都可在 IAM 策略中用于授予或拒绝用户使用该操作的权限。但是,并非全部X-Ray支持资源级权限,这使您能够指定可以对哪些资源执行操作。

对于不支持资源级权限的操作,您必须将“*”作为资源。

下 X-Ray 操作支持资源级权限:

  • CreateGroup

  • GetGroup

  • UpdateGroup

  • DeleteGroup

  • CreateSamplingRule

  • UpdateSamplingRule

  • DeleteSamplingRule

以下是基于身份的权限策略的示例CreateGroup操作。该示例显示了与群组名称相关的 ARN 的用法local-users使用唯一 ID 作为通配符。唯一 ID 是在创建群组时生成的,因此无法在策略中事先预测。使用时GetGroup,UpdateGroup,或DeleteGroup,您可以将其定义为通配符或精确的 ARN,包括 ID。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "xray:CreateGroup" ], "Resource": [ "arn:aws:xray:eu-west-1:123456789012:group/local-users/*" ] } ] }

以下是基于身份的权限策略的示例CreateSamplingRule操作。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "xray:CreateSamplingRule" ], "Resource": [ "arn:aws:xray:eu-west-1:123456789012:sampling-rule/base-scorekeep" ] } ] }
注意

抽样规则的 ARN 由其名称定义。与组 ARN 不同,采样规则没有唯一生成的 ID。