Beispiele für identitätsbasierte Richtlinien für Amazon Managed Grafana

Standardmäßig sind Benutzer und Rollen nicht berechtigt, Amazon Managed Grafana-Ressourcen zu erstellen oder zu ändern. Sie können auch keine Aufgaben mithilfe der AWS API AWS Management Console, AWS Command Line Interface (AWS CLI) oder ausführen. Ein IAM-Administrator muss IAM-Richtlinien erstellen, die Benutzern die Berechtigung erteilen, Aktionen für die Ressourcen auszuführen, die sie benötigen. Der Administrator kann dann die IAM-Richtlinien zu Rollen hinzufügen, und Benutzer können die Rollen annehmen.

Informationen dazu, wie Sie unter Verwendung dieser beispielhaften JSON-Richtliniendokumente eine identitätsbasierte IAM-Richtlinie erstellen, finden Sie unter Erstellen von IAM-Richtlinien im IAM-Benutzerhandbuch.

Einzelheiten zu den von Amazon Managed Grafana definierten Aktionen und Ressourcentypen, einschließlich des Formats der ARNs für jeden Ressourcentyp, finden Sie unter Aktionen, Ressourcen und Bedingungsschlüssel für Amazon Managed Grafana in der Service Authorization Reference.

Bewährte Methoden für Richtlinien

Identitätsbasierte Richtlinien legen fest, ob jemand Amazon Managed Grafana-Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder diese löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Befolgen Sie beim Erstellen oder Bearbeiten identitätsbasierter Richtlinien die folgenden Anleitungen und Empfehlungen:

• Beginnen Sie mit AWS verwalteten Richtlinien und wechseln Sie zu Berechtigungen mit den geringsten Rechten — Verwenden Sie die AWS verwalteten Richtlinien, die Berechtigungen für viele gängige Anwendungsfälle gewähren, um Ihren Benutzern und Workloads zunächst Berechtigungen zu gewähren. Sie sind in Ihrem verfügbar. AWS-Konto Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom AWS Kunden verwaltete Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind. Weitere Informationen finden Sie unter AWS -verwaltete Richtlinien oder AWS -verwaltete Richtlinien für Auftrags-Funktionen im IAM-Benutzerhandbuch.

• Anwendung von Berechtigungen mit den geringsten Rechten – Wenn Sie mit IAM-Richtlinien Berechtigungen festlegen, gewähren Sie nur die Berechtigungen, die für die Durchführung einer Aufgabe erforderlich sind. Sie tun dies, indem Sie die Aktionen definieren, die für bestimmte Ressourcen unter bestimmten Bedingungen durchgeführt werden können, auch bekannt als die geringsten Berechtigungen. Weitere Informationen zur Verwendung von IAM zum Anwenden von Berechtigungen finden Sie unter Richtlinien und Berechtigungen in IAM im IAM-Benutzerhandbuch.

• Verwenden von Bedingungen in IAM-Richtlinien zur weiteren Einschränkung des Zugriffs – Sie können Ihren Richtlinien eine Bedingung hinzufügen, um den Zugriff auf Aktionen und Ressourcen zu beschränken. Sie können beispielsweise eine Richtlinienbedingung schreiben, um festzulegen, dass alle Anforderungen mithilfe von SSL gesendet werden müssen. Sie können auch Bedingungen verwenden, um Zugriff auf Serviceaktionen zu gewähren, wenn diese für einen bestimmten Zweck verwendet werden AWS-Service, z. AWS CloudFormation B. Weitere Informationen finden Sie unter IAM-JSON-Richtlinienelemente: Bedingung im IAM-Benutzerhandbuch.

• Verwenden von IAM Access Analyzer zur Validierung Ihrer IAM-Richtlinien, um sichere und funktionale Berechtigungen zu gewährleisten – IAM Access Analyzer validiert neue und vorhandene Richtlinien, damit die Richtlinien der IAM-Richtliniensprache (JSON) und den bewährten IAM-Methoden entsprechen. IAM Access Analyzer stellt mehr als 100 Richtlinienprüfungen und umsetzbare Empfehlungen zur Verfügung, damit Sie sichere und funktionale Richtlinien erstellen können. Weitere Informationen finden Sie unter Richtlinienvalidierung zum IAM Access Analyzer im IAM-Benutzerhandbuch.

• Multi-Faktor-Authentifizierung (MFA) erforderlich — Wenn Sie ein Szenario haben, das IAM-Benutzer oder einen Root-Benutzer in Ihrem System erfordert AWS-Konto, aktivieren Sie MFA für zusätzliche Sicherheit. Um MFA beim Aufrufen von API-Vorgängen anzufordern, fügen Sie Ihren Richtlinien MFA-Bedingungen hinzu. Weitere Informationen finden Sie unter Konfigurieren eines MFA-geschützten API-Zugriffs im IAM-Benutzerhandbuch.

Weitere Informationen zu bewährten Methoden in IAM finden Sie unter Bewährte Methoden für die Sicherheit in IAM im IAM-Benutzerhandbuch.

Verwenden der Amazon Managed Grafana-Konsole

Um auf die -Konsole zuzugreifen, müssen Sie über einen Mindestsatz von Berechtigungen verfügen. Diese Berechtigungen müssen es Ihnen ermöglichen, Details zu den Ressourcen in Ihrem AWS-Konto aufzulisten und anzuzeigen. Wenn Sie eine identitätsbasierte Richtlinie erstellen, die strenger ist als die mindestens erforderlichen Berechtigungen, funktioniert die Konsole nicht wie vorgesehen für Entitäten (Benutzer oder Rollen) mit dieser Richtlinie.

Beispielrichtlinien für Amazon Managed Grafana

Dieser Abschnitt enthält identitätsbasierte Richtlinien, die für verschiedene Amazon Managed Grafana-Szenarien nützlich sind.

Grafana-Administrator mit SAML

Wenn Sie SAML für Ihre Benutzerauthentifizierung verwenden, benötigt der Administrator, der Amazon Managed Grafana erstellt und verwaltet, die folgenden Richtlinien:

• AWSGrafanaAccountAdministratoroder die entsprechenden Berechtigungen zum Erstellen und Verwalten von Amazon Managed Grafana-Arbeitsbereichen.

• Die AWSMarketplaceManageSubscriptionsRichtlinie oder gleichwertige Berechtigungen, wenn Sie einen Amazon Managed Grafana-Workspace auf Grafana Enterprise aktualisieren möchten.

Grafana-Administrator in einem Verwaltungskonto mit IAM Identity Center

Um Berechtigungen zur Erstellung und Verwaltung von Amazon Managed Grafana-Workspaces in einer gesamten Organisation zu gewähren und Abhängigkeiten wie IAM Identity Center zu aktivieren, weisen Sie die AWSSSOMasterAccountAdministratorund die AWSGrafanaAccountAdministratorAWSSSODirectoryAdministratorRichtlinien einem Benutzer zu. Um einen Amazon Managed Grafana-Workspace auf Grafana Enterprise zu aktualisieren, muss ein Benutzer außerdem über die AWSMarketplaceManageSubscriptionsIAM-Richtlinie oder die entsprechenden Berechtigungen verfügen.

Wenn Sie beim Erstellen eines Amazon Managed Grafana-Workspace service-verwaltete Berechtigungen verwenden möchten, muss der Benutzer, der den Workspace erstellt, auch über die Berechtigungen iam:CreateRoleiam:CreatePolicy, und iam:AttachRolePolicy verfügen. Diese sind erforderlich, AWS CloudFormation StackSets um Richtlinien bereitzustellen, die es Ihnen ermöglichen, Datenquellen in den Konten der Organisation zu lesen.

Wichtig

Wenn Sie einem Benutzer die Berechtigungen iam:CreateRole, iam:CreatePolicy und iam:AttachRolePolicy gewähren, erhält dieser Benutzer vollen Administratorzugriff auf Ihr AWS -Konto. Beispielsweise kann ein Benutzer mit diesen Berechtigungen eine Richtlinie erstellen, die über vollständige Berechtigungen für alle Ressourcen verfügt, und diese Richtlinie an eine beliebige Rolle anhängen. Seien Sie sehr vorsichtig, wem Sie diese Berechtigungen erteilen.

Informationen zu den gewährten Berechtigungen finden Sie unter AWSGrafanaAccountAdministratorAWS verwaltete Richtlinie: AWSGrafanaAccountAdministrator

Grafana-Administrator in einem Mitgliedskonto mit IAM Identity Center

Um Berechtigungen zum Erstellen und Verwalten von Amazon Managed Grafana-Workspaces im Mitgliedskonto einer Organisation zu erteilen, weisen Sie die AWSGrafanaAccountAdministratorRichtlinien AWSSSOMemberAccountAdministratorund die AWSSSODirectoryAdministratorRichtlinien einem Benutzer zu. Um einen Amazon Managed Grafana-Workspace auf Grafana Enterprise zu aktualisieren, muss ein Benutzer außerdem über die AWSMarketplaceManageSubscriptionsIAM-Richtlinie oder die entsprechenden Berechtigungen verfügen.

Wenn Sie beim Erstellen eines Amazon Managed Grafana-Workspace service-verwaltete Berechtigungen verwenden möchten, muss der Benutzer, der den Workspace erstellt, auch über die Berechtigungen iam:CreateRoleiam:CreatePolicy, und iam:AttachRolePolicy verfügen. Diese sind erforderlich, damit der Benutzer Datenquellen im Konto lesen kann.

Wichtig

Wenn Sie einem Benutzer die Berechtigungen iam:CreateRole, iam:CreatePolicy und iam:AttachRolePolicy gewähren, erhält dieser Benutzer vollen Administratorzugriff auf Ihr AWS -Konto. Beispielsweise kann ein Benutzer mit diesen Berechtigungen eine Richtlinie erstellen, die über vollständige Berechtigungen für alle Ressourcen verfügt, und diese Richtlinie an eine beliebige Rolle anhängen. Seien Sie sehr vorsichtig, wem Sie diese Berechtigungen erteilen.

Informationen zu den gewährten Berechtigungen finden Sie unter AWSGrafanaAccountAdministratorAWS verwaltete Richtlinie: AWSGrafanaAccountAdministrator

Erstellen und verwalten Sie Amazon Managed Grafana-Arbeitsbereiche und Benutzer in einem einzigen eigenständigen Konto mithilfe von IAM Identity Center

Ein eigenständiges AWS Konto ist ein Konto, das noch kein Mitglied einer Organisation ist. Weitere Informationen zu Organisationen finden Sie unter Was ist AWS Organizations?

Um Berechtigungen zum Erstellen und Verwalten von Amazon Managed Grafana-Arbeitsbereichen und Benutzern in einem eigenständigen Konto zu erteilen, weisen Sie die AWSSSODirectoryAdministratorRichtlinien AWSGrafanaAccountAdministratorAWSSSOMasterAccountAdministrator, AWSOrganizationsFullAccessund einem Benutzer zu. Um einen Amazon Managed Grafana-Workspace auf Grafana Enterprise zu aktualisieren, muss ein Benutzer außerdem über die AWSMarketplaceManageSubscriptionsIAM-Richtlinie oder die entsprechenden Berechtigungen verfügen.

Wichtig

Wenn Sie einem Benutzer die Berechtigungen iam:CreateRole, iam:CreatePolicy und iam:AttachRolePolicy gewähren, erhält dieser Benutzer vollen Administratorzugriff auf Ihr AWS -Konto. Beispielsweise kann ein Benutzer mit diesen Berechtigungen eine Richtlinie erstellen, die über vollständige Berechtigungen für alle Ressourcen verfügt, und diese Richtlinie an eine beliebige Rolle anhängen. Seien Sie sehr vorsichtig, wem Sie diese Berechtigungen erteilen.

Informationen zu den gewährten Berechtigungen finden Sie unter AWSGrafanaAccountAdministratorAWS verwaltete Richtlinie: AWSGrafanaAccountAdministrator

Benutzerzugriff auf Amazon Managed Grafana zuweisen und die Zuweisung aufheben

Um anderen Benutzern Berechtigungen zur Verwaltung des Zugriffs auf Amazon Managed Grafana-Workspaces im Konto zu gewähren, einschließlich der Gewährung von Grafana-Administratorberechtigungen für diese Workspaces, weisen Sie diesem Benutzer die AWSGrafanaWorkspacePermissionManagementV2-Richtlinie zu. Wenn Sie IAM Identity Center verwenden, um Benutzer in diesem Workspace zu verwalten, benötigt der Benutzer auch die Richtlinien und. AWSSSOReadOnlyAWSSSODirectoryReadOnly

Informationen zu den Berechtigungen, die AWSGrafanaWorkspacePermissionManagementV2 gewährt wurden, finden Sie unter AWS verwaltete Richtlinie: AWSGrafanaWorkspacePermissionManagementV2

Amazon Managed Grafana-Leseberechtigungen

Um Berechtigungen für Leseaktionen wie das Auflisten und Anzeigen von Workspaces und das Öffnen der Grafana-Workspace-Konsole zu erteilen, weisen Sie die AWSGrafanaConsoleReadOnlyAccessAWSSSODirectoryReadOnlyRichtlinien AWSSSOReadOnlyund einer Benutzer- oder IAM-Rolle zu.

Informationen zu den erteilten Berechtigungen finden Sie unter. AWSGrafanaConsoleReadOnlyAccessAWS verwaltete Richtlinie: AWSGrafanaConsoleReadOnlyAccess