Amazon X-Ray 基于身份的策略示例
默认情况下,用户和角色没有创建或修改 X-Ray 资源的权限。它们还无法使用 Amazon Web Services Management Console、Amazon CLI 或 Amazon API 执行任务。管理员必须创建 IAM policy,以便为用户和角色授予权限以对所需的指定资源执行特定的 API 操作。然后,管理员必须将这些策略附加到需要这些权限的用户或组。
要了解如何使用这些示例 JSON 策略文档创建 IAM 基于身份的策略,请参阅《IAM 用户指南》中的在 JSON 选项卡上创建策略。
主题
策略最佳实践
基于身份的策略确定某个人是否可以创建、访问或删除您账户中的 X-Ray 资源。这些操作可能会使 Amazon Web Services 账户产生成本。创建或编辑基于身份的策略时,请遵循以下指南和建议:
-
Amazon 托管策略及转向最低权限许可入门 – 要开始向用户和工作负载授予权限,请使用 Amazon 托管策略来为许多常见使用场景授予权限。您可以在 Amazon Web Services 账户 中找到这些策略。我们建议通过定义特定于您的使用场景的 Amazon 客户管理型策略来进一步减少权限。有关更多信息,请参阅《IAM 用户指南》中的 Amazon 托管策略或工作职能的 Amazon 托管策略。
-
应用最低权限 – 在使用 IAM 策略设置权限时,请仅授予执行任务所需的权限。为此,您可以定义在特定条件下可以对特定资源执行的操作,也称为最低权限许可。有关使用 IAM 应用权限的更多信息,请参阅《IAM 用户指南》中的 IAM 中的策略和权限。
-
使用 IAM 策略中的条件进一步限制访问权限 – 您可以向策略添加条件来限制对操作和资源的访问。例如,您可以编写策略条件来指定必须使用 SSL 发送所有请求。如果通过特定(Amazon Web Services 服务例如 Amazon CloudFormation)使用服务操作,您还可以使用条件来授予对服务操作的访问权限。有关更多信息,请参阅《IAM 用户指南》中的 IAM JSON 策略元素:条件。
-
使用 IAM Access Analyzer 验证您的 IAM 策略,以确保权限的安全性和功能性 – IAM Access Analyzer 会验证新策略和现有策略,以确保策略符合 IAM 策略语言 (JSON) 和 IAM 最佳实践。IAM Access Analyzer 提供 100 多项策略检查和可操作的建议,以帮助您制定安全且功能性强的策略。有关更多信息,请参阅《IAM 用户指南》中的使用 IAM Access Analyzer 验证策略。
-
需要多重身份验证(MFA) – 如果您所处的场景要求您的 Amazon Web Services 账户 中有 IAM 用户或根用户,请启用 MFA 来提高安全性。若要在调用 API 操作时需要 MFA,请将 MFA 条件添加到您的策略中。有关更多信息,请参阅《IAM 用户指南》中的使用 MFA 保护 API 访问。
有关 IAM 中的最佳实操的更多信息,请参阅《IAM 用户指南》中的 IAM 中的安全最佳实操。
使用 X-Ray 控制台
要访问 Amazon X-Ray控制台,您必须拥有一组最低的权限。这些权限必须允许您列出和查看有关您的 Amazon Web Services 账户 中的 X-Ray 资源的详细信息。如果创建比必需的最低权限更为严格的基于身份的策略,对于附加了该策略的实体(用户或角色),控制台将无法按预期正常运行。
要确保这些实体仍然可以使用 X-Ray 控制台,请将 AWSXRayReadOnlyAccess
Amazon 托管策略附加到这些实体。X-Ray 的 IAM 托管策略中更加详细地介绍了此策略。有关更多信息,请参阅《IAM 用户指南》中的为用户添加权限。
对于只需要调用 Amazon CLI 或 Amazon API 的用户,无需为其提供最低控制台权限。相反,只允许访问与您尝试执行的 API 操作相匹配的操作。
允许用户查看他们自己的权限
该示例说明了您如何创建策略,以允许 IAM 用户查看附加到其用户身份的内联和托管策略。此策略包括在控制台上完成此操作或者以编程方式使用 Amazon CLI 或 Amazon API 所需的权限。
{ "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] }
根据标签管理对 X-Ray 组和采样规则的访问权限
您可以在基于身份的策略中使用条件,以便基于标签控制对 X-Ray 组和采样规则的访问。以下示例策略可用于拒绝用户角色创建、删除或更新具有标签 stage:prod
或 stage:preprod
的组的权限。有关标记 X-Ray 采样规则和组的更多信息,请参阅 标记 X-Ray 采样规则和组。
如需拒绝用户对创建、更新或删除具有标签 stage:prod
或 stage:preprod
的组的访问权限,请为该用户分配具有类似于以下策略的角色。
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowAllXRay",
"Effect": "Allow",
"Action": "xray:*",
"Resource": "*"
},
{
"Sid": "DenyCreateGroupWithStage",
"Effect": "Deny",
"Action": [
"xray:CreateGroup"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:RequestTag/stage": [
"preprod",
"prod"
]
}
}
},
{
"Sid": "DenyUpdateGroupWithStage",
"Effect": "Deny",
"Action": [
"xray:UpdateGroup",
"xray:DeleteGroup"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/stage": [
"preprod",
"prod"
]
}
}
}
]
}
如需拒绝创建采样规则,请使用 aws:RequestTag
指明标签不能作为创建请求的一部分进行传递。如需拒绝更新或删除采样规则,请使用 aws:ResourceTag
拒绝基于这些资源应用的标签的操作。
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowAllXRay",
"Effect": "Allow",
"Action": "xray:*",
"Resource": "*"
},
{
"Sid": "DenyCreateSamplingRuleWithStage",
"Effect": "Deny",
"Action": "xray:CreateSamplingRule",
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:RequestTag/stage": [
"preprod",
"prod"
]
}
}
},
{
"Sid": "DenyUpdateSamplingRuleWithStage",
"Effect": "Deny",
"Action": [
"xray:UpdateSamplingRule",
"xray:DeleteSamplingRule"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/stage": [
"preprod",
"prod"
]
}
}
}
]
}
可以将这些策略(或将它们整合为单一策略,然后再附加策略)附加到账户中的用户。如果用户想要对组或采样规则进行更改,则相应的组或采样规则不得标记为 stage=prepod
或 stage=prod
。条件标签键 Stage
匹配 Stage
和 stage
,因为条件键名称不区分大小写。有关条件块的更多信息,请参阅《IAM 用户指南》中的 IAM JSON 策略元素:条件。
角色中附加有以下策略的用户无法将标签 role:admin
添加到资源,且无法从具有关联的 role:admin
的资源中删除标签。
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowAllXRay",
"Effect": "Allow",
"Action": "xray:*",
"Resource": "*"
},
{
"Sid": "DenyRequestTagAdmin",
"Effect": "Deny",
"Action": "xray:TagResource",
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:RequestTag/role": "admin"
}
}
},
{
"Sid": "DenyResourceTagAdmin",
"Effect": "Deny",
"Action": "xray:UntagResource",
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/role": "admin"
}
}
}
]
}
X-Ray 的 IAM 托管策略
为方便授权,IAM 支持将托管策略用于每个服务。服务可以在发布新 API 时使用新权限更新这些托管策略。 为只读、只写和管理员使用案例提供了托管策略。
-
AWSXrayReadOnlyAccess
- 读取使用 X-Ray 控制台的权限、Amazon CLI 或 Amazon SDK,以从 X-Ray API 获取跟踪数据、跟踪地图、见解和 X-Ray 配置。包含 Observability Access Manager(OAM)oam:ListSinks
和oam:ListAttachedSinks
权限,以允许控制台查看作为 CloudWatch 跨账户可观测性一部分的源账户中共享的跟踪。BatchGetTraceSummaryById
和GetDistinctTraceGraphs
API 操作不应由您的代码调用,并且不包含在 Amazon CLI 和 Amazon SDK 中。{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "xray:GetSamplingRules", "xray:GetSamplingTargets", "xray:GetSamplingStatisticSummaries", "xray:BatchGetTraces", "xray:BatchGetTraceSummaryById", "xray:GetDistinctTraceGraphs", "xray:GetServiceGraph", "xray:GetTraceGraph", "xray:GetTraceSummaries", "xray:GetGroups", "xray:GetGroup", "xray:ListTagsForResource", "xray:ListResourcePolicies", "xray:GetTimeSeriesServiceStatistics", "xray:GetInsightSummaries", "xray:GetInsight", "xray:GetInsightEvents", "xray:GetInsightImpactGraph", "oam:ListSinks" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "oam:ListAttachedLinks" ], "Resource": "arn:aws:oam:*:*:sink/*" } }
-
AWSXRayDaemonWriteAccess
- 写入权限,用于使用 X-Ray 进程守护程序、Amazon CLI 或 Amazon SDK 将分段文档和遥测数据上传到 X-Ray API。包含读取权限以获取采样规则并报告采样结果。{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "xray:PutTraceSegments", "xray:PutTelemetryRecords", "xray:GetSamplingRules", "xray:GetSamplingTargets", "xray:GetSamplingStatisticSummaries" ], "Resource": [ "*" ] } ] }
-
AWSXrayCrossAccountSharingConfiguration
- 授予创建、管理和查看 Observability Access Manager 链接的权限,在账户之间实现 X-Ray 资源共享。用于在源和监控账户之间启用 CloudWatch 跨账户可观测性。{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "xray:Link", "oam:ListLinks" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "oam:DeleteLink", "oam:GetLink", "oam:TagResource" ], "Resource": "arn:aws:oam:*:*:link/*" }, { "Effect": "Allow", "Action": [ "oam:CreateLink", "oam:UpdateLink" ], "Resource": [ "arn:aws:oam:*:*:link/*", "arn:aws:oam:*:*:sink/*" ] } ] }
-
AWSXrayFullAccess
- 使用所有 X-Ray API 的权限,包括读取权限、写入权限以及配置加密密钥设置和采样规则的权限。包含 Observability Access Manager(OAM)oam:ListSinks
和oam:ListAttachedSinks
权限,以允许控制台查看作为 CloudWatch 跨账户可观测性一部分的源账户中共享的跟踪。{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "xray:*", "oam:ListSinks" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "oam:ListAttachedLinks" ], "Resource": "arn:aws:oam:*:*:sink/*" } ] }
将托管策略添加到 IAM 用户、组或角色
-
打开 IAM 控制台
。 -
打开与您的实例配置文件、IAM 用户或 IAM 组关联的角色。
-
在权限下,附加托管策略。
对 Amazon 托管策略的 X-Ray 更新
查看有关 X-Ray 的 Amazon 托管策略更新的详细信息(从该服务开始跟踪这些更改开始)。有关此页面更改的自动提示,请订阅 X-Ray 文档历史记录页面上的 RSS 源。
更改 | 描述 | 日期 |
---|---|---|
X-Ray 的 IAM 托管策略 - 添加了新的 |
X-Ray 为这些策略添加了 Observability Access Manager (OAM) |
2022 年 11 月 27 日 |
X-Ray 的 IAM 托管策略 - 更新了 |
X-Ray 添加了一项 API 操作, |
2022 年 11 月 15 日 |
使用 X-Ray 控制台 - 更新了 |
X-Ray 添加了两项 API 操作, 这些操作不应由您的代码调用。因此,这些 API 操作未包含在 Amazon CLI 和 Amazon SDK 中。 |
2022 年 11 月 11 日 |
在 IAM 策略中指定资源
您可以使用 IAM 策略控制对资源的访问。对于支持资源级权限的操作,您可以使用 Amazon 资源名称(ARN)标识策略适用的资源。
可以在 IAM 策略中使用所有 X-Ray 操作以授予或拒绝用户使用该操作的权限。但是,并非所有 X-Ray 操作都支持资源级权限(这使您能够指定可对其执行操作的资源)。
对于不支持资源级权限的操作,您必须将“*
”作为资源。
以下 X-Ray 操作支持资源级权限:
-
CreateGroup
-
GetGroup
-
UpdateGroup
-
DeleteGroup
-
CreateSamplingRule
-
UpdateSamplingRule
-
DeleteSamplingRule
下面是 CreateGroup
操作基于身份的权限策略的示例:此示例介绍了如何使用与包含唯一 ID 作为通配符的组名称 local-users
相关的 ARN。该唯一 ID 在组创建时生成,因此策略中无法前提预测。使用 GetGroup
、UpdateGroup
或 DeleteGroup
时,可将此定义为通配符或确切的 ARN(包括 ID)。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "xray:CreateGroup" ], "Resource": [ "arn:aws:xray:eu-west-1:123456789012:group/local-users/*" ] } ] }
下面是 CreateSamplingRule
操作基于身份的权限策略的示例:
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "xray:CreateSamplingRule" ], "Resource": [ "arn:aws:xray:eu-west-1:123456789012:sampling-rule/base-scorekeep" ] } ] }
注意
采样规则的 ARN 由其名称定义。与组 ARN 不同,采样规则没有唯一生成的 ID。