AWS X-Ray 的操作、资源和条件键 - 服务授权参考
操作资源类型条件键

AWS X-Ray 的操作、资源和条件键

AWS X-Ray（服务前缀：xray）提供以下可用于 IAM 权限策略的服务特定资源、操作和条件上下文键。

参考：

AWS X-Ray 定义的操作

您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 AWS 中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作表的访问级别列描述如何对操作进行分类（列出、读取、权限管理或标记）。此分类可以帮助您了解当您在策略中使用操作时，相应操作授予的访问级别。有关访问级别的更多信息，请参阅策略摘要中的访问级别。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。通过在 IAM policy 中使用条件来筛选访问权限，以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource 元素限制资源访问权限，则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

操作表的依赖操作列显示成功调用操作可能需要的其他权限。除了操作本身的权限以外，可能还需要这些权限。若某个操作指定依赖操作，则这些依赖关系可能适用于为该操作定义的其他资源，而不仅仅是表中列出的第一个资源。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作 描述 访问级别 资源类型（* 为必需） 条件键 相关操作
BatchGetTraceSummaryById [仅权限] 授予权限以检索 ID 指定的跟踪列表的元数据 读取
BatchGetTraces 授予权限以检索按 ID 指定的跟踪列表。每个跟踪是一组分段文档，由单个请求生成。使用 GetTraceSummaries 获取跟踪 ID 的列表 列表
CancelTraceRetrieval 授予权限以使用提供的 RetrievalToken 取消由 StartTraceRetrieval 启动的正在进行的跟踪检索任务。成功取消将返回 HTTP 200 响应 读取
CreateGroup 授予权限以使用名称和筛选条件表达式创建组资源 Write

group*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateSamplingRule 授予权限以创建规则，用于控制分析的应用程序的采样行为 Write

sampling-rule*

aws:RequestTag/${TagKey}

aws:TagKeys

DeleteGroup 授予权限以删除组资源 写入

group*

aws:ResourceTag/${TagKey}

DeleteResourcePolicy 授予权限以删除资源策略 写入

xray:ResourcePolicyName

DeleteSamplingRule 授予权限以删除采样规则 写入

sampling-rule*

aws:ResourceTag/${TagKey}

GetDistinctTraceGraphs [仅权限] 授予权限以检索一个或多个特定跟踪 ID 的不同服务图 读取
GetEncryptionConfig 授予权限以检索 X-Ray 数据的当前加密配置 Read
GetGroup 授予权限以检索组资源详细信息 Read

group*

aws:ResourceTag/${TagKey}

GetGroups 授予权限以检索所有活动组详细信息 读取
GetIndexingRules 授予权限以检索所有索引规则。索引规则用于确定通过 CloudWatchLogs 目标摄取并由 X-Ray 编入索引的范围的服务器端采样率 读取
GetInsight 授予权限以检索特定见解的详细信息 Read
GetInsightEvents 授予权限以检索特定见解的事件 Read
GetInsightImpactGraph 授予权限以检索服务图中受特定见解影响的部分 Read
GetInsightSummaries 授予权限以使用可选筛选器，按照组和时间范围检索所有见解的摘要 读取
GetRetrievedTracesGraph 授予权限以检索基于 Transaction Search CloudWatch 日志组中指定 RetrievalToken 的跟踪服务图 读取
GetSamplingRules 授予权限以检索所有采样规则 Read
GetSamplingStatisticSummaries 授予权限以检索有关所有采样规则的最新采样结果的信息 Read
GetSamplingTargets 授予权限以请求服务用于采样请求的规则的采样配额 Read
GetServiceGraph 授予权限以检索文档，其中包含处理传入请求的服务，以及这些请求作为结果调用的下游服务的介绍 Read
GetTimeSeriesServiceStatistics 授予权限以获取按时间间隔划分的特定时间范围定义的服务统计数据的聚合 Read
GetTraceGraph 授予权限以检索一个或多个特定跟踪 ID 的服务图形 读取
GetTraceSegmentDestination 授予权限以检索发送到 PutTraceSegments 和 OpenTelemetry API 的数据的当前目的地 读取
GetTraceSummaries 授予权限以使用可选筛选条件，检索指定时间段内可用的跟踪 ID 和元数据。要获得完整跟踪，请将跟踪 ID 传递至 BatchGetTraces 读取
授予权限以与监视帐户共享 X 射线资源 写入
ListResourcePolicies 授予权限以列出资源策略 列表
ListRetrievedTraces 授予权限以检索 Transaction Search CloudWatch 日志组中给定 RetrievalToken 的跟踪列表 列表
ListTagsForResource 授予权限以列出 X-Ray 资源的标签 List

group

sampling-rule

PutEncryptionConfig 授予权限以更新 X-Ray 数据加密配置 权限管理
PutResourcePolicy 授予权限以创建或更新资源策略 写入

xray:ResourcePolicyName

PutSpans 授予权限以将 OpenTelemetry 范围上传到 X-Ray AWS 写入

logs:LogGeneratingResourceArns

PutSpansForIndexing [仅权限] 授予权限以将范围上传到 AWS X-Ray，以便编入索引 写入
PutTelemetryRecords 授予权限以向服务发送 AWS X-Ray 守护进程遥测 Write
PutTraceSegments 授予权限以将分段文档发送到 AWS X-Ray。X-Ray 开发工具包生成分段文档并发送给 X-Ray 守护程序，再由守护程序批量上传 写入

logs:LogGeneratingResourceArns

StartTraceRetrieval 授予权限以使用指定时间范围在 Transaction Search CloudWatch 日志组中针对给定跟踪 ID 启动跟踪检索过程 读取
TagResource 授予权限以将标签添加到 X-Ray 资源中 Tagging

group

sampling-rule

aws:TagKeys

aws:RequestTag/${TagKey}

UntagResource 授予权限以从 X-Ray 资源中删除标签 Tagging

group

sampling-rule

aws:TagKeys

UpdateGroup 授予权限以更新组资源 写入

group*

aws:ResourceTag/${TagKey}

UpdateIndexingRule 授予权限以修改索引规则的配置 写入
UpdateSamplingRule 授予权限以修改采样规则的配置 写入

sampling-rule*

aws:ResourceTag/${TagKey}

UpdateTraceSegmentDestination 授予权限以修改发送到 PutTraceSegments 和 OpenTelemetry API 的数据的目的地 写入

xray:TraceSegmentDestination

AWS X-Ray 定义的资源类型

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型 ARN 条件键
group arn:${Partition}:xray:${Region}:${Account}:group/${GroupName}/${Id}

aws:ResourceTag/${TagKey}

sampling-rule arn:${Partition}:xray:${Region}:${Account}:sampling-rule/${SamplingRuleName}

aws:ResourceTag/${TagKey}

AWS X-Ray 的条件键

AWS X-Ray 定义了以下可以在 IAM policy 的 Condition 元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件键，请参阅 AWS 全局条件上下文键。

条件键 描述 类型
aws:RequestTag/${TagKey} 按请求中传递的标签筛选访问权限 字符串
aws:ResourceTag/${TagKey} 按与资源关联的标签筛选访问权限 字符串
aws:TagKeys 按请求中传递的标签键筛选访问权限 字符串数组
logs:LogGeneratingResourceArns 按请求中的 LogGeneratingResourceArn 筛选访问权限 ArrayOfARN
xray:ResourcePolicyName 按请求中的 PolicyName 筛选访问权限 字符串
xray:TraceSegmentDestination 按请求中的 TraceSegmentDestination 类型筛选访问权限 字符串