Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

AWS X-Ray contoh kebijakan berbasis identitas

Secara default, pengguna dan peran tidak memiliki izin untuk membuat atau memodifikasi sumber daya X-Ray. Mereka juga tidak dapat melakukan tugas menggunakan AWS Management Console, AWS CLI, atau AWS API. Administrator harus membuat IAM kebijakan yang memberikan izin kepada pengguna dan peran untuk melakukan API operasi tertentu pada sumber daya tertentu yang mereka butuhkan. Administrator kemudian harus melampirkan kebijakan tersebut ke pengguna atau grup yang memerlukan izin tersebut.

Untuk mempelajari cara membuat kebijakan IAM berbasis identitas menggunakan contoh dokumen kebijakan ini, lihat Membuat JSON Kebijakan di JSON Tab di Panduan Pengguna. IAM

Praktik terbaik kebijakan

Kebijakan berbasis identitas menentukan apakah seseorang dapat membuat, mengakses, atau menghapus sumber daya X-Ray di akun Anda. Tindakan ini membuat Akun AWS Anda dikenai biaya. Ketika Anda membuat atau mengedit kebijakan berbasis identitas, ikuti panduan dan rekomendasi ini:

Untuk informasi selengkapnya tentang praktik terbaik diIAM, lihat Praktik terbaik keamanan IAM di Panduan IAM Pengguna.

Menggunakan konsol X-Ray

Untuk mengakses AWS X-Ray konsol, Anda harus memiliki set izin minimum. Izin ini harus memungkinkan Anda untuk membuat daftar dan melihat detail tentang sumber daya X-Ray di Anda Akun AWS. Jika Anda membuat kebijakan berbasis identitas yang lebih ketat daripada izin minimum yang diperlukan, konsol tidak akan berfungsi sebagaimana mestinya untuk entitas (pengguna atau peran) dengan kebijakan tersebut.

Untuk memastikan bahwa entitas tersebut masih dapat menggunakan konsol X-Ray, lampirkan kebijakan AWSXRayReadOnlyAccess AWS terkelola ke entitas. Kebijakan ini dijelaskan secara lebih rinci dalam kebijakan IAM terkelola untuk X-Ray. Untuk informasi selengkapnya, lihat Menambahkan Izin ke Pengguna di Panduan IAM Pengguna.

Anda tidak perlu mengizinkan izin konsol minimum untuk pengguna yang melakukan panggilan hanya ke AWS CLI atau. AWS API Sebagai gantinya, izinkan akses hanya ke tindakan yang cocok dengan API operasi yang Anda coba lakukan.

Mengizinkan pengguna melihat izin mereka sendiri

Contoh ini menunjukkan cara Anda membuat kebijakan yang memungkinkan IAM pengguna melihat kebijakan sebaris dan terkelola yang dilampirkan pada identitas pengguna mereka. Kebijakan ini mencakup izin untuk menyelesaikan tindakan ini di konsol atau secara terprogram menggunakan atau. AWS CLI AWS API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Mengelola akses ke grup X-Ray dan aturan pengambilan sampel berdasarkan tanda

Anda dapat menggunakan syarat dalam kebijakan berbasis identitas Anda untuk mengontrol akses ke grup X-Ray dan aturan pengambilan sampel berdasarkan tanda. Contoh kebijakan berikut dapat digunakan untuk menolak peran pengguna izin untuk membuat, menghapus, atau memperbarui grup dengan tag stage:prod ataustage:preprod. Untuk informasi selengkapnya tentang penandaan aturan dan grup pengambilan sampel X-Ray, lihat Menandai aturan dan grup pengambilan sampel X-Ray.

Untuk menolak akses pengguna untuk membuat, memperbarui, atau menghapus grup dengan tanda stage:prod atau stage:preprod, tetapkan peran pengguna dengan kebijakan yang mirip dengan berikut ini.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAllXRay",
            "Effect": "Allow",
            "Action": "xray:*",
            "Resource": "*"
        },
        {
            "Sid": "DenyCreateGroupWithStage",
            "Effect": "Deny",
            "Action": [
                "xray:CreateGroup"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/stage": [
                        "preprod",
                        "prod"
                    ]
                }
            }
        },
        {
            "Sid": "DenyUpdateGroupWithStage",
            "Effect": "Deny",
            "Action": [
                "xray:UpdateGroup",
                "xray:DeleteGroup"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/stage": [
                        "preprod",
                        "prod"
                    ]
                }
            }
        }
    ]
}

Untuk menolak pembuatan aturan pengambilan sampel, gunakan aws:RequestTag untuk menunjukkan tanda yang tidak dapat dilewatkan sebagai bagian dari permintaan pembuatan. Untuk menolak pembaruan atau penghapusan aturan pengambilan sampel, gunakan aws:ResourceTag untuk menolak tindakan berdasarkan tanda pada sumber daya tersebut.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAllXRay",
            "Effect": "Allow",
            "Action": "xray:*",
            "Resource": "*"
        },
        {
            "Sid": "DenyCreateSamplingRuleWithStage",
            "Effect": "Deny",
            "Action": "xray:CreateSamplingRule",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/stage": [
                        "preprod",
                        "prod"
                    ]
                }
            }
        },
        {
            "Sid": "DenyUpdateSamplingRuleWithStage",
            "Effect": "Deny",
            "Action": [
                "xray:UpdateSamplingRule",
                "xray:DeleteSamplingRule"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/stage": [
                        "preprod",
                        "prod"
                    ]
                }
            }
        }
    ]
}

Anda dapat melampirkan kebijakan ini (atau menggabungkannya ke dalam satu kebijakan, lalu melampirkan kebijakan) ke pengguna di akun Anda. Bagi pengguna untuk membuat perubahan ke grup atau aturan pengambilan sampel, grup atau aturan pengambilan sampel tidak boleh ditandai stage=prepod atau stage=prod. Kunci tanda syarat Stage cocok dengan kedua Stage dan stage karena nama kunci syarat tidak terpengaruh huruf besar/kecil. Untuk informasi selengkapnya tentang blok kondisi, lihat Elemen IAM JSON Kebijakan: Kondisi di Panduan IAM Pengguna.

Pengguna dengan peran yang memiliki kebijakan berikut terlampir tidak dapat menambahkan tanda role:admin ke sumber daya, dan tidak dapat menghapus tanda dari sumber daya yang role:admin terkait dengan hal tersebut.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAllXRay",
            "Effect": "Allow",
            "Action": "xray:*",
            "Resource": "*"
        },
        {
            "Sid": "DenyRequestTagAdmin",
            "Effect": "Deny",
            "Action": "xray:TagResource",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/role": "admin"
                }
            }
        },
        {
            "Sid": "DenyResourceTagAdmin",
            "Effect": "Deny",
            "Action": "xray:UntagResource",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/role": "admin"
                }
            }
        }
    ]
}

IAMkebijakan terkelola untuk X-Ray

Untuk mempermudah pemberian izin, IAM mendukung kebijakan terkelola untuk setiap layanan. Layanan dapat memperbarui kebijakan terkelola ini dengan izin baru saat merilis yang baruAPIs. AWS X-Ray menyediakan kebijakan terkelola untuk kasus penggunaan hanya baca, tulis, dan administrator.

Pembaruan X-Ray ke kebijakan AWS terkelola

Lihat detail tentang pembaruan kebijakan AWS terkelola untuk X-Ray sejak layanan ini mulai melacak perubahan ini. Untuk peringatan otomatis tentang perubahan pada halaman ini, berlangganan RSS umpan di halaman riwayat Dokumen X-Ray.

Menentukan sumber daya dalam kebijakan IAM

Anda dapat mengontrol akses ke sumber daya dengan menggunakan IAM kebijakan. Untuk tindakan yang mendukung izin tingkat sumber daya, Anda menggunakan Amazon Resource Name (ARN) untuk mengidentifikasi sumber daya yang diterapkan kebijakan tersebut.

Semua tindakan X-Ray dapat digunakan dalam IAM kebijakan untuk memberikan atau menolak izin pengguna untuk menggunakan tindakan tersebut. Namun, tidak semua tindakan X-Ray mendukung izin tingkat sumber daya, yang memungkinkan Anda untuk menentukan sumber daya tempat tindakan dapat dilakukan.

Untuk tindakan yang tidak mendukung izin tingkat sumber daya, Anda harus menggunakan "*" sebagai sumber daya.

Tindakan X-Ray berikut mendukung izin tingkat sumber daya:

Berikut ini adalah contoh kebijakan izin berbasis identitas untuk tindakan CreateGroup. Contoh menunjukkan penggunaan yang ARN berkaitan dengan nama Grup local-users dengan ID unik sebagai wildcard. ID unik terbuat ketika grup dibuat, sehingga tidak dapat diprediksi di kebijakan sebelumnya. Saat menggunakanGetGroup,UpdateGroup, atauDeleteGroup, Anda dapat mendefinisikan ini sebagai wildcard atau persisARN, termasuk ID.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "xray:CreateGroup"
            ],
            "Resource": [
                "arn:aws:xray:eu-west-1:123456789012:group/local-users/*"
            ]
        }
    ]
}

Berikut ini adalah contoh kebijakan izin berbasis identitas untuk tindakan CreateSamplingRule.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "xray:CreateSamplingRule"
            ],
            "Resource": [
                "arn:aws:xray:eu-west-1:123456789012:sampling-rule/base-scorekeep"
            ]
        }
    ]
}