AWS X-Ray 基于身份的策略示例 - AWS X-Ray
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

AWS X-Ray 基于身份的策略示例

默认情况下, IAM 用户和角色没有创建或修改权限 X-Ray 资源。他们也不能使用 AWS 管理控制台, AWS CLI,或 AWS API。一个 IAM 管理员必须创建 IAM 授予用户和角色权限的策略,以便在所需的指定资源上执行特定API操作。然后,管理员必须将这些策略附加到需要这些权限的 IAM 用户或组。

学习如何创建 IAM 基于身份的策略使用这些示例JSON策略文档,请参阅 在JSON选项卡上创建策略IAM 用户指南.

策略最佳实践

基于身份的策略非常强大。它们确定某个人是否可以创建、访问或删除您账户中的 X-Ray 资源。这些操作可能会使 AWS 账户产生成本。创建或编辑基于身份的策略时,请遵循以下准则和建议:

  • 开始使用 AWS 托管策略 – 要快速开始使用 X-Ray,请使用 AWS 托管策略,为您的员工授予他们所需的权限。这些策略已在您的账户中提供,并由 AWS 维护和更新。有关更多信息,请参阅 IAM 用户指南 中的利用 AWS 托管策略开始使用权限

  • 授予最低权限 – 创建自定义策略时,仅授予执行任务所需的许可。最开始只授予最低权限,然后根据需要授予其他权限。这样做比起一开始就授予过于宽松的权限而后再尝试收紧权限来说更为安全。有关更多信息,请参阅 IAM 用户指南 中的授予最小权限

  • 为敏感操作启用 MFA – 为增强安全性,要求 IAM 用户使用多重身份验证 (MFA) 来访问敏感资源或 API 操作。有关更多信息,请参阅 IAM 用户指南 中的在 AWS 中使用多重身份验证 (MFA)

  • 使用策略条件来增强安全性 – 在切实可行的范围内,定义基于身份的策略在哪些情况下允许访问资源。例如,您可编写条件来指定请求必须来自允许的 IP 地址范围。您也可以编写条件,以便仅允许指定日期或时间范围内的请求,或者要求使用 SSL 或 MFA。有关更多信息,请参阅 IAM 用户指南 中的 IAM JSON 策略元素:Condition

使用 X-Ray 控制台

要访问 AWS X-Ray 控制台,您必须拥有一组最低的权限。这些权限必须允许您列出并查看有关 X-Ray 资源 AWS 账户。如果创建比必需的最低权限更为严格的基于身份的策略,对于附加了该策略的实体(IAM 用户或角色),控制台将无法按预期正常运行。

确保这些实体仍可以使用 X-Ray 控制台,还附上以下内容 AWS 对实体的管理策略。有关详细信息,请参阅 向用户添加权限IAM 用户指南:

AWSXrayReadOnlyAccess

您不需要允许仅将调用呼叫的用户的最低控制台权限 AWS CLI 或 AWS API。相反,只允许访问与您尝试执行的 API 操作相匹配的操作。

允许用户查看他们自己的权限

此示例显示您可以如何创建策略,以便允许 IAM 用户查看附加到其用户身份的内联和托管策略。此策略包括在控制台上完成此操作或者以编程方式使用 AWS CLI 或 AWS API 所需的权限。

{ "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws-cn:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] }

管理访问 X-Ray 基于标签的组和采样规则

您可以使用基于身份的策略中的条件来控制访问 X-Ray 基于标签的组和采样规则。以下示例策略可用于拒绝 IAM 用户角色,使用标签创建、删除或更新组的权限 stage:prodstage:preprod...有关标记的更多信息 X-Ray 取样规则和组,参见 标记 X-Ray 采样规则和组.

拒绝用户使用标签创建、更新或删除组的访问权限 stage:prodstage:preprod,为用户分配类似于以下策略的角色。

{ "Version": "2012-10-17", "Statement": [ { "Sid": "AllowAllXRay", "Effect": "Allow", "Action": "xray:*", "Resource": "*" }, { "Sid": "DenyCreateGroupWithStage", "Effect": "Deny", "Action": [ "xray:CreateGroup" ], "Resource": "*", "Condition": { "StringEquals": { "aws:RequestTag/stage": [ "preprod", "prod" ] } } }, { "Sid": "DenyUpdateGroupWithStage", "Effect": "Deny", "Action": [ "xray:UpdateGroup", "xray:DeleteGroup" ], "Resource": "*", "Condition": { "StringEquals": { "aws:ResourceTag/stage": [ "preprod", "prod" ] } } } ] }

要拒绝创建取样规则,请使用 aws:RequestTag 表示作为创建请求的一部分无法传递的标记。要拒绝更新或删除取样规则,请使用 aws:ResourceTag 根据这些资源上的标签拒绝操作。

{ "Version": "2012-10-17", "Statement": [ { "Sid": "AllowAllXRay", "Effect": "Allow", "Action": "xray:*", "Resource": "*" }, { "Sid": "DenyCreateSamplingRuleWithStage", "Effect": "Deny", "Action": "xray:CreateSamplingRule", "Resource": "*", "Condition": { "StringEquals": { "aws:RequestTag/stage": [ "preprod", "prod" ] } } }, { "Sid": "DenyUpdateSamplingRuleWithStage", "Effect": "Deny", "Action": [ "xray:UpdateSamplingRule", "xray:DeleteSamplingRule" ], "Resource": "*", "Condition": { "StringEquals": { "aws:ResourceTag/stage": [ "preprod", "prod" ] } } } ] }

您可以将这些策略附加到一个单独的策略中,然后将策略附加到 IAM 帐户中的用户。要让用户更改组或取样规则,不得标记组或取样规则 stage=prepodstage=prod...条件标签键 Stage 同时匹配 Stagestage 因为条件密钥名称不区分大小写。有关条件块的详细信息,请参阅 IAM JSON政策要素: 条件IAM 用户指南.

附带以下策略的用户无法添加标签 role:admin 对于资源,并且无法从具有 role:admin 与IT相关。

{ "Version": "2012-10-17", "Statement": [ { "Sid": "AllowAllXRay", "Effect": "Allow", "Action": "xray:*", "Resource": "*" }, { "Sid": "DenyRequestTagAdmin", "Effect": "Deny", "Action": "xray:TagResource", "Resource": "*", "Condition": { "StringEquals": { "aws:RequestTag/role": "admin" } } }, { "Sid": "DenyResourceTagAdmin", "Effect": "Deny", "Action": "xray:UntagResource", "Resource": "*", "Condition": { "StringEquals": { "aws:ResourceTag/role": "admin" } } } ] }

IAM适用于 的 托管策略X-Ray

为了让许可证简单 IAM 支持 管理策略 对于每项服务。服务可以在发布新 API 时使用新权限更新这些托管策略。AWS X-Ray 为只读、只写和管理员使用案例提供了托管策略。

  • AWSXrayReadOnlyAccess – 使用 X-Ray 控制台, AWS CLI、或AWSSDK可从 X-Ray API。包括查看取样规则的权限。

    { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "xray:GetSamplingRules", "xray:GetSamplingTargets", "xray:GetSamplingStatisticSummaries", "xray:BatchGetTraces", "xray:GetServiceGraph", "xray:GetTraceGraph", "xray:GetTraceSummaries", "xray:GetGroups", "xray:GetGroup", "xray:GetTimeSeriesServiceStatistics", "xray:GetInsightSummaries", "xray:GetInsight", "xray:GetInsightEvents", "xray:GetInsightImpactGraph" ], "Resource": [ "*" ] } ] }
  • AWSXRayDaemonWriteAccess – 使用 X-Ray 守护程序, AWS CLI、或AWSSDK将分段文件和遥测上传到 X-Ray API。包括读取权限的权限 采样规则 和报告取样结果。

    { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "xray:PutTraceSegments", "xray:PutTelemetryRecords", "xray:GetSamplingRules", "xray:GetSamplingTargets", "xray:GetSamplingStatisticSummaries" ], "Resource": [ "*" ] } ] }
  • AWSXrayFullAccess – 使用所有 X-Ray API 的权限,包括读取权限、写入权限以及配置加密密钥设置和采样规则的权限。

    { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "xray:*" ], "Resource": [ "*" ] } ] }

将托管策略添加到 IAM 用户、组或角色

  1. 打开 iam控制台.

  2. 打开与您的实例配置文件、IAM 用户或 IAM 组关联的角色。

  3. 下方 权限,附加管理的策略。

指定一个资源内的 IAM 政策

您可以使用 IAM 策略控制对资源的访问。对于支持资源级别权限的操作,您使用Amazon资源名称(ARN)来标识策略应用的资源。

全部 X-Ray 操作可以用于 IAM 授予或拒绝用户使用该操作权限的策略。但是,并非全部 X-Ray 操作 支持资源级别权限,使您能够指定执行操作的资源。

对于不支持资源级权限的操作,您必须将“*”作为资源。

以下内容 X-Ray 操作支持资源级别权限:

  • CreateGroup

  • GetGroup

  • UpdateGroup

  • DeleteGroup

  • CreateSamplingRule

  • UpdateSamplingRule

  • DeleteSamplingRule

以下是基于身份的权限策略的示例 CreateGroup 操作。示例显示了与组名称相关的ARN local-users 唯一ID为通配符。创建组时会生成唯一ID,因此提前保单中不能预测该唯一ID。使用 GetGroupUpdateGroup,或 DeleteGroup,您可以将其定义为通配符或确切ARN,包括ID。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "xray:CreateGroup" ], "Resource": [ "arn:aws:xray:eu-west-1:123456789012:group/local-users/*" ] } ] }

以下是基于身份的权限策略的示例 CreateSamplingRule 操作。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "xray:CreateSamplingRule" ], "Resource": [ "arn:aws:xray:eu-west-1:123456789012:sampling-rule/base-scorekeep" ] } ] }
注意

取样规则的ARN以其名称定义。与组 ARN 不同,采样规则没有唯一生成的 ID。