本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。 # Amazon X-Ray 基于身份的策略示例 基于身份的策略示例 默认情况下，用户和角色没有创建或修改 X-Ray 资源的权限。他们也无法使用 Amazon Web Services 管理控制台 Amazon CLI、或 Amazon API 执行任务。管理员必须创建 IAM policy，以便为用户和角色授予权限以对所需的指定资源执行特定的 API 操作。然后，管理员必须将这些策略附加到需要这些权限的用户或组。 要了解如何使用这些示例 JSON 策略文档创建 IAM 基于身份的策略，请参阅《IAM 用户指南》**中的[在 JSON 选项卡上创建策略](https://docs.amazonaws.cn/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor)。 **Topics** + [ ## 策略最佳实践 ](#security_iam_service-with-iam-policy-best-practices) + [ ## 使用 X-Ray 控制台 ](#security_iam_id-based-policy-examples-console) + [ ## 允许用户查看他们自己的权限 ](#security_iam_id-based-policy-examples-view-own-permissions) + [ ## 根据标签管理对 X-Ray 组和采样规则的访问权限 ](#security_iam_id-based-policy-examples-manage-sampling-tags) + [ ## X-Ray 的 IAM 托管策略 ](#xray-permissions-managedpolicies) + [ ## Amazon 托管策略的 X-Ray 更新 ](#xray-permissions-managedpolicies-history) + [ ## 在 IAM 策略中指定资源 ](#xray-permissions-resources) ## 策略最佳实践 基于身份的策略确定某个人是否可以创建、访问或删除您账户中的 X-Ray 资源。这些操作可能会使 Amazon Web Services 账户产生成本。创建或编辑基于身份的策略时，请遵循以下指南和建议： + **开始使用 Amazon 托管策略并转向最低权限权限** — 要开始向用户和工作负载授予权限，请使用为许多常见用例授予权限的*Amazon 托管策略*。它们在你的版本中可用 Amazon Web Services 账户。我们建议您通过定义针对您的用例的 Amazon 客户托管策略来进一步减少权限。有关更多信息，请参阅《IAM 用户指南》**中的 [Amazon 托管策略](https://docs.amazonaws.cn/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[工作职能的Amazon 托管策略](https://docs.amazonaws.cn/IAM/latest/UserGuide/access_policies_job-functions.html)。 + **应用最低权限**：在使用 IAM 策略设置权限时，请仅授予执行任务所需的权限。为此，您可以定义在特定条件下可以对特定资源执行的操作，也称为*最低权限许可*。有关使用 IAM 应用权限的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的策略和权限](https://docs.amazonaws.cn/IAM/latest/UserGuide/access_policies.html)。 + **使用 IAM 策略中的条件进一步限制访问权限**：您可以向策略添加条件来限制对操作和资源的访问。例如，您可以编写策略条件来指定必须使用 SSL 发送所有请求。如果服务操作是通过特定的方式使用的，则也可以使用条件来授予对服务操作的访问权限 Amazon Web Services 服务，例如 Amazon CloudFormation。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM JSON 策略元素：条件](https://docs.amazonaws.cn/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 + **使用 IAM Access Analyzer 验证您的 IAM 策略，以确保权限的安全性和功能性**：IAM Access Analyzer 会验证新策略和现有策略，以确保策略符合 IAM 策略语言（JSON）和 IAM 最佳实践。IAM Access Analyzer 提供 100 多项策略检查和可操作的建议，以帮助您制定安全且功能性强的策略。有关更多信息，请参阅《IAM 用户指南》**中的[使用 IAM Access Analyzer 验证策略](https://docs.amazonaws.cn/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。 + **需要多重身份验证 (MFA**)-如果 Amazon Web Services 账户您的场景需要 IAM 用户或根用户，请启用 MFA 以提高安全性。若要在调用 API 操作时需要 MFA，请将 MFA 条件添加到您的策略中。有关更多信息，请参阅《IAM 用户指南》**中的[使用 MFA 保护 API 访问](https://docs.amazonaws.cn/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。 有关 IAM 中的最佳实操的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的安全最佳实践](https://docs.amazonaws.cn/IAM/latest/UserGuide/best-practices.html)。 ## 使用 X-Ray 控制台 使用控制台 要访问 Amazon X-Ray 控制台，您必须拥有一组最低权限。这些权限必须允许您列出和查看有关您的 X-Ray 资源的详细信息 Amazon Web Services 账户。如果创建比必需的最低权限更为严格的基于身份的策略，对于附加了该策略的实体（用户或角色），控制台将无法按预期正常运行。 为确保这些实体仍然可以使用 X-Ray 控制台，请将`AWSXRayReadOnlyAccess` Amazon 托管策略附加到这些实体。[X-Ray 的 IAM 托管策略](#xray-permissions-managedpolicies)中更加详细地介绍了此策略。有关更多信息，请参阅《IAM 用户指南》**中的[为用户添加权限](https://docs.amazonaws.cn/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)。 对于仅调用 Amazon CLI 或 Amazon API 的用户，您无需为其设置最低控制台权限。相反，只允许访问与您尝试执行的 API 操作相匹配的操作。 ## 允许用户查看他们自己的权限 该示例说明了您如何创建策略，以允许 IAM 用户查看附加到其用户身份的内联和托管式策略。此策略包括在控制台上或使用 Amazon CLI 或 Amazon API 以编程方式完成此操作的权限。 ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` ## 根据标签管理对 X-Ray 组和采样规则的访问权限 您可以在基于身份的策略中使用条件，以便基于标签控制对 X-Ray 组和采样规则的访问。以下示例策略可用于拒绝用户角色创建、删除或更新具有标签 `stage:prod` 或 `stage:preprod` 的组的权限。有关标记 X-Ray 采样规则和组的更多信息，请参阅 [标记 X-Ray 采样规则和组](xray-tagging.md)。 如需拒绝创建采样规则，请使用 `aws:RequestTag` 指明标签不能作为创建请求的一部分进行传递。如需拒绝更新或删除采样规则，请使用 `aws:ResourceTag` 拒绝基于这些资源应用的标签的操作。 可以将这些策略（或将它们整合为单一策略，然后再附加策略）附加到账户中的用户。如果用户想要对组或采样规则进行更改，则相应的组或采样规则不得标记为 `stage=prepod` 或 `stage=prod`。条件标签键 `Stage` 匹配 `Stage` 和 `stage`，因为条件键名称不区分大小写。有关条件块的更多信息，请参阅《IAM 用户指南》**中的 [IAM JSON 策略元素：条件](https://docs.amazonaws.cn/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 角色中附加有以下策略的用户无法将标签 `role:admin` 添加到资源，且无法从具有关联的 `role:admin` 的资源中删除标签。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowAllXRay", "Effect": "Allow", "Action": "xray:*", "Resource": "*" }, { "Sid": "DenyRequestTagAdmin", "Effect": "Deny", "Action": "xray:TagResource", "Resource": "*", "Condition": { "StringEquals": { "aws:RequestTag/role": "admin" } } }, { "Sid": "DenyResourceTagAdmin", "Effect": "Deny", "Action": "xray:UntagResource", "Resource": "*", "Condition": { "StringEquals": { "aws:ResourceTag/role": "admin" } } } ] } ``` ------ ## X-Ray 的 IAM 托管策略 为方便授权，IAM 支持将**托管策略**用于每个服务。服务可以在发布新权限时使用新权限更新这些托管策略 APIs。 Amazon X-Ray 为只读、只写和管理员用例提供托管策略。 + `AWSXrayReadOnlyAccess`— 读取使用 X-Ray 控制台或 Amazon SDK 从 X-Ray API 获取跟踪数据、轨迹地图、见解和 X-Ray 配置的权限。 Amazon CLI包括可观察性访问管理器 (OAM) `oam:ListSinks` 和`oam:ListAttachedSinks`权限，允许控制台查看作为[CloudWatch 跨](https://docs.amazonaws.cn/AmazonCloudWatch/latest/monitoring/CloudWatch-Unified-Cross-Account.html)账户可观察性一部分的源账户共享的跟踪记录。`BatchGetTraceSummaryById`和 `GetDistinctTraceGraphs` API 操作不打算由您的代码调用，也不包含在 Amazon CLI 和中 Amazon SDKs。 ``` { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "xray:GetSamplingRules", "xray:GetSamplingTargets", "xray:GetSamplingStatisticSummaries", "xray:BatchGetTraces", "xray:BatchGetTraceSummaryById", "xray:GetDistinctTraceGraphs", "xray:GetServiceGraph", "xray:GetTraceGraph", "xray:GetTraceSummaries", "xray:GetGroups", "xray:GetGroup", "xray:ListTagsForResource", "xray:ListResourcePolicies", "xray:GetTimeSeriesServiceStatistics", "xray:GetInsightSummaries", "xray:GetInsight", "xray:GetInsightEvents", "xray:GetInsightImpactGraph", "oam:ListSinks" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "oam:ListAttachedLinks" ], "Resource": "arn:aws:oam:*:*:sink/*" } } ``` + `AWSXRayDaemonWriteAccess`— 写入使用 X-Ray 守护程序或 Amazon SDK 将分段文档和遥测数据上传到 X-Ray API 的权限。 Amazon CLI包含读取权限以获取[采样规则](xray-console-sampling.md)并报告采样结果。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "xray:PutTraceSegments", "xray:PutTelemetryRecords", "xray:GetSamplingRules", "xray:GetSamplingTargets", "xray:GetSamplingStatisticSummaries" ], "Resource": [ "*" ] } ] } ``` ------ + `AWSXrayCrossAccountSharingConfiguration` - 授予创建、管理和查看 Observability Access Manager 链接的权限，在账户之间实现 X-Ray 资源共享。用于启用来源账户和监控[CloudWatch 账户之间的跨账户可观察性](https://docs.amazonaws.cn/AmazonCloudWatch/latest/monitoring/CloudWatch-Unified-Cross-Account.html)。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "xray:Link", "oam:ListLinks" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "oam:DeleteLink", "oam:GetLink", "oam:TagResource" ], "Resource": "arn:aws:oam:*:*:link/*" }, { "Effect": "Allow", "Action": [ "oam:CreateLink", "oam:UpdateLink" ], "Resource": [ "arn:aws:oam:*:*:link/*", "arn:aws:oam:*:*:sink/*" ] } ] } ``` ------ + `AWSXrayFullAccess`— 使用所有 X-Ray 的权限 APIs，包括读取权限、写入权限以及配置加密密钥设置和采样规则的权限。包括可观察性访问管理器 (OAM) `oam:ListSinks` 和`oam:ListAttachedSinks`权限，允许控制台查看作为[CloudWatch 跨](https://docs.amazonaws.cn/AmazonCloudWatch/latest/monitoring/CloudWatch-Unified-Cross-Account.html)账户可观察性一部分的源账户共享的跟踪记录。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "xray:*", "oam:ListSinks" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "oam:ListAttachedLinks" ], "Resource": "arn:aws:oam:*:*:sink/*" } ] } ``` ------ **将托管策略添加到 IAM 用户、组或角色** 1. 打开 [IAM 控制台](https://console.amazonaws.cn/iam/home)。 1. 打开与您的实例配置文件、IAM 用户或 IAM 组关联的角色。 1. 在**权限**下，附加托管策略。 ## Amazon 托管策略的 X-Ray 更新 查看自该服务开始跟踪这些更改以来，X-Ray Amazon 托管策略更新的详细信息。有关此页面更改的自动提示，请订阅 X-Ray [文档历史记录](document-history.md)页面上的 RSS 源。 | 更改 | 描述 | 日期 | | --- | --- | --- | | [X-Ray 的 IAM 托管策略](#xray-permissions-managedpolicies) - 添加了新的 `AWSXrayCrossAccountSharingConfiguration`，并更新了 `AWSXrayReadOnlyAccess` 和 `AWSXrayFullAccess` 策略。 | X-Ray 在这些策略中添加了可观察性访问管理器 (OAM) 权限`oam:ListSinks`，允许控制台查看作为[CloudWatch 跨](https://docs.amazonaws.cn/AmazonCloudWatch/latest/monitoring/CloudWatch-Unified-Cross-Account.html)账户可观察性一部分的源账户共享的跟踪。`oam:ListAttachedSinks` | 2022 年 11 月 27 日 | | [X-Ray 的 IAM 托管策略](#xray-permissions-managedpolicies) - 更新了 `AWSXrayReadOnlyAccess` 策略。 | X-Ray 添加了一项 API 操作，`ListResourcePolicies`。 | 2022 年 11 月 15 日 | | [使用 X-Ray 控制台](#security_iam_id-based-policy-examples-console) - 更新了 `AWSXrayReadOnlyAccess` 策略 | X-Ray 添加了两项 API 操作，`BatchGetTraceSummaryById` 和 `GetDistinctTraceGraphs`。 这些操作不应由您的代码调用。因此，这些 API 操作不包含在 Amazon CLI 和中 Amazon SDKs。 | 2022 年 11 月 11 日 | ## 在 IAM 策略中指定资源 您可以使用 IAM 策略控制对资源的访问。对于支持资源级权限的操作，您可以使用 Amazon 资源名称 (ARN) 标识策略适用的资源。 可以在 IAM 策略中使用所有 X-Ray 操作以授予或拒绝用户使用该操作的权限。但是，并非所有 [X-Ray 操作](https://docs.amazonaws.cn/xray/latest/api/API_Operations.html)都支持资源级权限（这使您能够指定可对其执行操作的资源）。 对于不支持资源级权限的操作，您必须将“`*`”作为资源。 以下 X-Ray 操作支持资源级权限： + `CreateGroup` + `GetGroup` + `UpdateGroup` + `DeleteGroup` + `CreateSamplingRule` + `UpdateSamplingRule` + `DeleteSamplingRule` 下面是 `CreateGroup` 操作基于身份的权限策略的示例：此示例介绍了如何使用与包含唯一 ID 作为通配符的组名称 `local-users` 相关的 ARN。该唯一 ID 在组创建时生成，因此策略中无法前提预测。使用 `GetGroup`、`UpdateGroup` 或 `DeleteGroup` 时，可将此定义为通配符或确切的 ARN（包括 ID）。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "xray:CreateGroup" ], "Resource": [ "arn:aws:xray:eu-west-1:123456789012:group/local-users/*" ] } ] } ``` ------ 下面是 `CreateSamplingRule` 操作基于身份的权限策略的示例： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "xray:CreateSamplingRule" ], "Resource": [ "arn:aws:xray:eu-west-1:123456789012:sampling-rule/base-scorekeep" ] } ] } ``` ------ **注意** 采样规则的 ARN 由其名称定义。与组不同 ARNs，采样规则没有唯一生成的 ID。