Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon X-Ray 基于身份的策略示例

默认情况下，用户和角色没有创建或修改 Ray 资源的权限。它们还无法使用 Amazon Web Services Management Console、Amazon CLI 或 Amazon API 执行任务。管理员必须创建 IAM policy，以便为用户和角色授予权限以对所需的指定资源执行特定的 API 操作。然后，管理员必须将这些策略附加到需要这些权限的 用户或组。

要了解如何使用这些示例 JSON 策略文档创建 IAM 基于身份的策略，请参阅 IAM 用户指南 中的在 JSON 选项卡上创建策略。

策略最佳实践

基于身份的策略确定某个人是否可以创建、访问或删除您账户中的 RaX-Ray 资源。这些操作可能会使 Amazon Web Services 账户 产生成本。创建或编辑基于身份的策略时，请遵循以下准则和建议：

有关 IAM 中的最佳实践的更多信息，请参阅《IAM 用户指南》中的 IAM 中的安全最佳实践。

使用 X-Ray

要访问 Amazon X-Ray 控制台，您必须拥有一组最低的权限。这些权限必须允许您能列出和查看有关您Amazon账户中的 Ray 资源的详细信息。如果创建比必需的最低权限更为严格的基于身份的策略，对于附加了该策略的实体（用户或角色），控制台将无法按预期正常运行。

要确保这些实体仍可使用 Ray 控制台，请向实体附加AWSXRayReadOnlyAccessAmazon托管策略。此策略在 X-Ray 的 IAM 托管策略中有更详细的描述。有关更多信息，请参阅 IAM 用户指南中的为用户添加权限。

对于只需要调用 Amazon CLI 或 Amazon API 的用户，无需为其提供最低控制台权限。相反，只允许访问与您尝试执行的 API 操作相匹配的操作。

允许用户查看他们自己的权限

该示例说明了您如何创建策略，以允许 IAM 用户查看附加到其用户身份的内联和托管式策略。此策略包括在控制台上完成此操作或者以编程方式使用 Amazon CLI 或 Amazon API 所需的权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

根据标签管理对 X-Ray 组和采样规则的访问权限

您可以在基于身份的策略中使用条件，以便基于标签控制对 X-Ray 组和采样规则的访问。以下示例策略可用于拒绝用户角色创建、删除或更新带有标签stage:prod或的群组的权限stage:preprod。有关标记 X-Ray 采样规则和组的更多信息，请参阅为 X-Ray 采样规则和组添加标签。

要拒绝用户访问创建、更新或删除带有标签的群组stage:preprod，stage:prod或使用与以下类似的策略为用户分配角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAllXRay",
            "Effect": "Allow",
            "Action": "xray:*",
            "Resource": "*"
        },
        {
            "Sid": "DenyCreateGroupWithStage",
            "Effect": "Deny",
            "Action": [
                "xray:CreateGroup"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/stage": [
                        "preprod",
                        "prod"
                    ]
                }
            }
        },
        {
            "Sid": "DenyUpdateGroupWithStage",
            "Effect": "Deny",
            "Action": [
                "xray:UpdateGroup",
                "xray:DeleteGroup"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/stage": [
                        "preprod",
                        "prod"
                    ]
                }
            }
        }
    ]
}

要拒绝创建抽样规则，请使用aws:RequestTag来表示无法作为创建请求的一部分传递的标签。要拒绝更新或删除抽样规则，请使用aws:ResourceTag拒绝基于这些资源上的标签的操作。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAllXRay",
            "Effect": "Allow",
            "Action": "xray:*",
            "Resource": "*"
        },
        {
            "Sid": "DenyCreateSamplingRuleWithStage",
            "Effect": "Deny",
            "Action": "xray:CreateSamplingRule",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/stage": [
                        "preprod",
                        "prod"
                    ]
                }
            }
        },
        {
            "Sid": "DenyUpdateSamplingRuleWithStage",
            "Effect": "Deny",
            "Action": [
                "xray:UpdateSamplingRule",
                "xray:DeleteSamplingRule"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/stage": [
                        "preprod",
                        "prod"
                    ]
                }
            }
        }
    ]
}

您可以将这些策略附加到您账户中的用户（或将它们合并为单个策略，然后附加策略）。用户要更改分组规则或抽样规则，则不得将分组或抽样规则标记为 “stage=prepod或”stage=prod。条件标签键 Stage 匹配 Stage 和 stage，因为条件键名称不区分大小写。有关条件块的更多信息，请参阅《IAM 用户指南》中的 IAM JSON policy 元素：条件。

具有附加了以下策略的角色的用户无法role:admin向资源添加标签，也无法从与之role:admin关联的资源中删除标签。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAllXRay",
            "Effect": "Allow",
            "Action": "xray:*",
            "Resource": "*"
        },
        {
            "Sid": "DenyRequestTagAdmin",
            "Effect": "Deny",
            "Action": "xray:TagResource",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/role": "admin"
                }
            }
        },
        {
            "Sid": "DenyResourceTagAdmin",
            "Effect": "Deny",
            "Action": "xray:UntagResource",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/role": "admin"
                }
            }
        }
    ]
}

X-Ray ay 的 IAM 托管策略

为了便于授予权限，IAM 支持每项服务的托管策略。服务在发布新 API 时可以使用新权限更新这些托管策略。 Amazon X-Ray为只读、只写和管理员用例提供托管策略。

Amazon托管策略的 X-Ray 更新

查看有关 X-Ray ay 的Amazon托管策略更新的详细信息（从该服务开始跟踪这些更改开始）。有关此页面更改的自动提醒，请订阅文档历史记录页面上的 X-Ray SS 源。

在 IAM 策略中指定资源

您可以使用 IAM 策略控制对资源的访问权限。对于支持资源级权限的操作，您可以使用 Amazon Resource Name (ARN) 标识策略应用到的资源。

所有 X-Ray 操作都可以在 IAM 策略中用于授予或拒绝用户使用该操作的权限。但是，并非所有 X-Ray 操作都支持资源级权限，资源级权限使您能够指定可以对其执行操作的资源。

对于不支持资源级权限的操作，您必须将“*”作为资源。

以下 X-Ray 操作支持资源级权限：

以下是基于身份的CreateGroup操作权限策略的示例。该示例显示了如何使用与群组名称相关的 ARN，local-users并将唯一 ID 用作通配符。唯一的 ID 是在创建群组时生成的，因此无法在策略中提前预测。使用GetGroupUpdateGroup、或时DeleteGroup，您可以将其定义为通配符或确切的 ARN，包括 ID。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "xray:CreateGroup"
            ],
            "Resource": [
                "arn:aws:xray:eu-west-1:123456789012:group/local-users/*"
            ]
        }
    ]
}

以下是基于身份的CreateSamplingRule操作权限策略的示例。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "xray:CreateSamplingRule"
            ],
            "Resource": [
                "arn:aws:xray:eu-west-1:123456789012:sampling-rule/base-scorekeep"
            ]
        }
    ]
}