AWS X-Ray 的操作、资源和条件键 - 服务授权参考
操作资源类型条件键

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

AWS X-Ray 的操作、资源和条件键

AWS X-Ray（服务前缀:xray）提供以下特定于服务的资源、操作和条件上下文密钥，供在IAM权限策略中使用。

参考：

AWS X-Ray 定义的操作

您可以在 Action 策略语句的 IAM 元素中指定以下操作。可以使用策略授予在 AWS中执行操作的权限。当您在策略中使用操作时，通常会允许或拒绝访问具有相同名称的API操作或CLI命令。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。如果该列包含资源类型，则可以在带有该操作ARN的语句中指定该类型的资源类型。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您使用IAM策略中的Resource元素限制资源访问权限，则必须为每种必需的资源类型包含ARN或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作 描述 访问级别 资源类型（* 为必需） 条件键 相关操作
BatchGetTraceSummaryById[仅权限] 授予权限以检索 ID 指定的跟踪列表的元数据 读取
BatchGetTraces 授予权限以检索按 ID 指定的跟踪列表。每个跟踪是一组分段文档，由单个请求生成。 GetTraceSummaries 用于获取跟踪列表 IDs 列表
CancelTraceRetrieval 授予取消 StartTraceRetrieval 使用提供的启动的正在进行的跟踪检索任务的权限 RetrievalToken。成功取消将返回 HTTP 200 的响应 读取
CreateGroup 授予权限以使用名称和筛选条件表达式创建组资源 Write

group*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateSamplingRule 授予权限以创建规则，用于控制分析的应用程序的采样行为 Write

sampling-rule*

aws:RequestTag/${TagKey}

aws:TagKeys

DeleteGroup 授予权限以删除组资源 写入

group*

aws:ResourceTag/${TagKey}

DeleteResourcePolicy 授予权限以删除资源策略 写入
DeleteSamplingRule 授予权限以删除采样规则 写入

sampling-rule*

aws:ResourceTag/${TagKey}

GetDistinctTraceGraphs[仅权限] 授予检索一条或多条特定跟踪的不同服务图表的权限 IDs 读取
GetEncryptionConfig 授予权限以检索 X-Ray 数据的当前加密配置 Read
GetGroup 授予权限以检索组资源详细信息 Read

group*

aws:ResourceTag/${TagKey}

GetGroups 授予权限以检索所有活动组详细信息 读取
GetIndexingRules 授予检索所有索引规则的权限。索引规则用于确定通过 CloudWatchLogs 目标采集并由 X-Ray 索引的跨度的服务器端采样率 读取
GetInsight 授予权限以检索特定见解的详细信息 Read
GetInsightEvents 授予权限以检索特定见解的事件 Read
GetInsightImpactGraph 授予权限以检索服务图中受特定见解影响的部分 Read
GetInsightSummaries 授予权限以使用可选筛选器，按照组和时间范围检索所有见解的摘要 读取
GetRetrievedTracesGraph 授予权限以检索基于事务搜索 CloudWatch 日志组 RetrievalToken 中指定的跟踪的服务图表 读取
GetSamplingRules 授予权限以检索所有采样规则 Read
GetSamplingStatisticSummaries 授予权限以检索有关所有采样规则的最新采样结果的信息 Read
GetSamplingTargets 授予权限以请求服务用于采样请求的规则的采样配额 Read
GetServiceGraph 授予权限以检索文档，其中包含处理传入请求的服务，以及这些请求作为结果调用的下游服务的介绍 Read
GetTimeSeriesServiceStatistics 授予权限以获取按时间间隔划分的特定时间范围定义的服务统计数据的聚合 读取
GetTraceGraph 授予检索一条或多条特定跟踪的服务图表的权限 IDs 读取
GetTraceSegmentDestination 授予权限以检索发送到 PutTraceSegments 和的数据的当前目的地 OpenTelemetry API 读取
GetTraceSummaries 使用可选筛选器授予在指定时间范围内检索可用跟踪的权限IDs和元数据。要获取完整的轨迹，请将轨迹IDs传递给 BatchGetTraces 读取
授予权限以与监视帐户共享 X 射线资源 写入
ListResourcePolicies 授予权限以列出资源策略 列表
ListRetrievedTraces 授予 RetrievalToken 从事务搜索 CloudWatch 日志组中检索给定跟踪列表的权限 列表
ListTagsForResource 授予权限以列出 X-Ray 资源的标签 List

group

sampling-rule

PutEncryptionConfig 授予权限以更新 X-Ray 数据加密配置 权限管理
PutResourcePolicy 授予权限以创建或更新资源策略 写入
PutSpans 授予将 OpenTelemetry 跨度上传到 X-Ray 的 AWS 权限 写入
PutSpansForIndexing[仅权限] 授予将跨度上传到 AWS X-Ray 以进行索引的权限 写入
PutTelemetryRecords 授予向服务发送 AWS X-Ray 守护程序遥测数据的权限 写入
PutTraceSegments 授予将区段文档上传到 AWS X-Ray 的权限。X-Ray SDK 生成分段文档并将其发送到 X-Ray 守护程序，后者会分批上传 写入
StartTraceRetrieval 授予使用指定时间范围启动跟踪检索过程的权限，并在事务搜索 CloudWatch 日志组IDs上为给定跟踪启动跟踪检索过程 读取
TagResource 授予权限以将标签添加到 X-Ray 资源中 Tagging

group

sampling-rule

aws:TagKeys

aws:RequestTag/${TagKey}

UntagResource 授予权限以从 X-Ray 资源中删除标签 Tagging

group

sampling-rule

aws:TagKeys

UpdateGroup 授予权限以更新组资源 写入

group*

aws:ResourceTag/${TagKey}

UpdateIndexingRule 授予修改索引规则配置的权限 写入
UpdateSamplingRule 授予权限以修改采样规则的配置 写入

sampling-rule*

aws:ResourceTag/${TagKey}

UpdateTraceSegmentDestination 授予修改发送到 PutTraceSegments 和的数据目的地的权限 OpenTelemetry API 写入

AWS X-Ray 定义的资源类型

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型 ARN 条件键
group arn:${Partition}:xray:${Region}:${Account}:group/${GroupName}/${Id}

aws:ResourceTag/${TagKey}

sampling-rule arn:${Partition}:xray:${Region}:${Account}:sampling-rule/${SamplingRuleName}

aws:ResourceTag/${TagKey}

AWS X-Ray 的条件键

AWS X-Ray 定义了可以在IAM策略Condition元素中使用的以下条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件键，请参阅可用的全局条件键。

条件键 描述 类型
aws:RequestTag/${TagKey} 按请求中传递的标签筛选访问权限 字符串
aws:ResourceTag/${TagKey} 按与资源关联的标签筛选访问权限 字符串
aws:TagKeys 按请求中传递的标签键筛选访问权限 ArrayOfString