AWS Políticas administradas por para Amazon Managed Grafana

Una política AWS administrada por es una política independiente creada y administrada por AWS. AWS Las políticas administradas por se han diseñado para ofrecer permisos para muchos casos de uso habituales, por lo que puede empezar a asignar permisos a usuarios, grupos y roles.

Considere que es posible que las políticas AWS administradas de no concedan permisos de privilegio mínimo para los casos de uso concretos, ya que están disponibles para que las utilicen todos los AWS clientes de. Se recomienda definir políticas administradas por el cliente específicas para sus casos de uso a fin de reducir aún más los permisos.

No puede cambiar los permisos definidos en las políticas AWS administradas de. Si AWS actualiza los permisos definidos en una política AWS administrada de, la actualización afecta a todas las identidades principales (usuarios, grupos y roles) a las que está adjunta la política. AWS es más probable que actualice una política AWS gestionada por cuando se lanza una nueva Servicio de AWS o cuando se ponen a disposición nuevas operaciones de API para los servicios existentes.

Para obtener más información, consulte Políticas administradas de AWS en la Guía del usuario de IAM.

AWS política gestionada: AWSGrafana AccountAdministrator

AWSGrafanaAccountAdministrator La política proporciona acceso dentro de Amazon Managed Grafana para crear y administrar cuentas y espacios de trabajo para toda la organización.

Puede adjuntarlas AWSGrafana AccountAdministrator a sus entidades de IAM.

Detalles de los permisos

Esta política incluye los siguientes permisos.

• iam: permite a las entidades principales enumerar y obtener roles de IAM para que el administrador pueda asociar un rol a un espacio de trabajo y transferir roles al servicio Amazon Managed Grafana.

• Amazon Managed Grafana: permite a las entidades principales acceso de lectura y escritura a todas las plataformas de Amazon Managed Grafana APIs.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSGrafanaOrganizationAdmin",
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles"
            ],
            "Resource": "*"
        },
        {
            "Sid": "GrafanaIAMGetRolePermission",
            "Effect": "Allow",
            "Action": "iam:GetRole",
            "Resource": "arn:aws:iam::*:role/*"
        },
        {
            "Sid": "AWSGrafanaPermissions",
            "Effect": "Allow",
            "Action": [
                "grafana:*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "GrafanaIAMPassRolePermission",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::*:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "grafana.amazonaws.com"
                }
            }
        }
    ]
}

AWS política gestionada: AWSGrafana WorkspacePermissionManagement (obsoleta)

Esta política está obsoleta. Esta política no debe asociarse a usuarios, grupos o roles nuevos.

Amazon Managed Grafana agregó una nueva política (AWSGrafanaWorkspacePermissionManagementV2) para reemplazar esta política. Esta nueva política administrada mejora la seguridad de su espacio de trabajo al proporcionar un conjunto de permisos más restrictivo.

AWS política gestionada: V2 AWSGrafana WorkspacePermissionManagement

AWSGrafanaWorkspacePermissionManagementLa política V2 es una política que proporciona únicamente la posibilidad de actualizar los permisos de usuario y grupo para los espacios de trabajo de Amazon Managed Grafana.

Puede adjuntar AWSGrafana WorkspacePermissionManagement V2 a sus entidades de IAM.

Detalles de los permisos

Esta política incluye los siguientes permisos.

• Amazon Managed Grafana: permite a las entidades principales leer y actualizar los permisos de usuario y de grupo de los espacios de trabajo de Amazon Managed Grafana.

• IAM Identity Center: permite a las entidades principales leer las entidades de IAM Identity Center. Esta es una parte necesaria de la asociación de las entidades principales con las aplicaciones de Amazon Managed Grafana, pero también requiere un paso adicional, que se describe después de la siguiente lista de políticas.

{
    "Version": "2012-10-17",
    "Statement": [{
            "Sid": "AWSGrafanaPermissions",
            "Effect": "Allow",
            "Action": [
                "grafana:DescribeWorkspace",
                "grafana:DescribeWorkspaceAuthentication",
                "grafana:UpdatePermissions",
                "grafana:ListPermissions",
                "grafana:ListWorkspaces"
            ],
            "Resource": "arn:aws:grafana:*:*:/workspaces*"
        },
        {
            "Sid": "IAMIdentityCenterPermissions",
            "Effect": "Allow",
            "Action": [
                "sso:DescribeRegisteredRegions",
                "sso:GetSharedSsoConfiguration",
                "sso:ListDirectoryAssociations",
                "sso:GetManagedApplicationInstance",
                "sso:ListProfiles",
                "sso:GetProfile",
                "sso:ListProfileAssociations",
                "sso-directory:DescribeUser",
                "sso-directory:DescribeGroup"
            ],
            "Resource": "*"
        }
    ]
}

Política adicional necesaria

Para permitir que un usuario asigne permisos por completo, además de la política AWSGrafanaWorkspacePermissionManagementV2, también debe asignar una política que permita el acceso a la asignación de aplicaciones en IAM Identity Center.

Para crear esta política, primero debe recopilar el ARN de la aplicación de Grafana para su espacio de trabajo

1. Abra la consola de IAM Identity Center.

2. En el menú de la izquierda, seleccione Aplicaciones.

3. En la pestaña Administrado por AWS , busque la aplicación llamada Amazon Grafana-workspace-name, donde workspace-name es el nombre de su espacio de trabajo. Seleccione el nombre de la aplicación.

4. Se muestra la aplicación IAM Identity Center administrada por Amazon Managed Grafana para el espacio de trabajo. El ARN de esta aplicación se muestra en la página de detalles. Estará en formato arn:aws:sso::owner-account-id:application/ssoins-unique-id/apl-unique-id.

La política que cree debe ser igual al siguiente ejemplo. grafana-application-arnSustituya por el ARN encontrado en el paso anterior:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sso:CreateApplicationAssignment",
                "sso:DeleteApplicationAssignment"
            ],
            "Resource": [
                "grafana-application-arn"
            ]
        }
    ]
}

Para obtener más información sobre cómo crear y aplicar una política a sus roles, consulte Adición y eliminación de permisos de identidad de IAM en la Guía del usuario de AWS Identity and Access Management .

AWS política gestionada: AWSGrafana ConsoleReadOnlyAccess

AWSGrafanaConsoleReadOnlyAccess La política otorga acceso a operaciones de solo lectura en Amazon Managed Grafana.

Puede adjuntarlo AWSGrafana ConsoleReadOnlyAccess a sus entidades de IAM.

Detalles de los permisos

Esta política incluye el siguiente permiso.

• Amazon Managed Grafana: concede a las entidades principales acceso de solo lectura a Amazon Managed Grafana APIs

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AWSGrafanaConsoleReadOnlyAccess",
      "Effect": "Allow",
      "Action": ["grafana:Describe*", "grafana:List*"],
      "Resource": "*"
    }
  ]
}

AWS política gestionada: AmazonGrafanaRedshiftAccess

Esta política concede acceso delimitado a Amazon Redshift y a las dependencias necesarias para utilizar el complemento de Amazon Redshift en Amazon Managed Grafana. AmazonGrafanaRedshiftAccess esta política permite a un usuario o a un rol de IAM utilizar el complemento de origen de datos de Amazon Redshift en Grafana. Las credenciales temporales de las bases de datos de Amazon Redshift dependen del usuario de la base de datos redshift_data_api_user y las credenciales de Secrets Manager se pueden recuperar si el secreto está etiquetado con la clave RedshiftQueryOwner. Esta política permite el acceso a los clústeres de Amazon Redshift etiquetados con GrafanaDataSource. Al crear una política administrada por el cliente, la autenticación basada en etiquetas es opcional.

Puede asociar AmazonGrafanaRedshiftAccess a sus entidades de IAM. Amazon Managed Grafana también asocia esta política a un rol de servicio que permite a Amazon Managed Grafana llevar a cabo acciones en su nombre.

Detalles de los permisos

Esta política incluye el siguiente permiso.

• Amazon Redshift: permite a las entidades principales describir los clústeres y obtener credenciales temporales para un usuario de base de datos con el nombre redshift_data_api_user.

• Amazon Redshift–data: permite a las entidades principales ejecutar consultas en clústeres etiquetados como GrafanaDataSource.

• Secrets Manager: permite a las entidades principales enumerar los secretos y leer los valores secretos de los secretos etiquetados como RedshiftQueryOwner.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "redshift:DescribeClusters",
        "redshift-data:GetStatementResult",
        "redshift-data:DescribeStatement",
        "secretsmanager:ListSecrets"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "redshift-data:DescribeTable",
        "redshift-data:ExecuteStatement",
        "redshift-data:ListTables",
        "redshift-data:ListSchemas"
      ],
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/GrafanaDataSource": "false"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": "redshift:GetClusterCredentials",
      "Resource": [
        "arn:aws:redshift:*:*:dbname:*/*",
        "arn:aws:redshift:*:*:dbuser:*/redshift_data_api_user"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Resource": "*",
      "Condition": {
        "Null": {
          "secretsmanager:ResourceTag/RedshiftQueryOwner": "false"
        }
      }
    }
  ]
}

AWS política gestionada: AmazonGrafanaAthenaAccess

Esta es una política que otorga acceso a Athena y a las dependencias necesarias para poder consultar y escribir los resultados en Amazon S3 desde el complemento de Athena en Amazon Managed Grafana. AmazonGrafanaAthenaAccessLa política permite a un usuario o a un rol de IAM utilizar el complemento de origen de datos de Athena en Grafana. Los grupos de trabajo de Athena deben estar etiquetados con GrafanaDataSource para que sean accesibles. Esta política contiene permisos para escribir los resultados de consultas en un bucket de Amazon S3 con un nombre como prefijo con grafana-athena-query-results-. Los permisos de Amazon S3 para acceder al origen de datos subyacente de una consulta de Athena no se incluyen en esta política.

Puede asociar la AWSGrafana AthenaAccess política a las entidades de IAM. Amazon Managed Grafana también asocia esta política a un rol de servicio que permite a Amazon Managed Grafana llevar a cabo acciones en su nombre.

Detalles de los permisos

Esta política incluye el siguiente permiso.

• Athena: permite a las entidades principales ejecutar consultas sobre los recursos de Athena en grupos de trabajo etiquetados como GrafanaDataSource.

• Amazon S3: permite a las entidades principales leer y escribir los resultados de las consultas en un bucket con el prefijo grafana-athena-query-results-.

• AWS Glue: permite a las entidades principales acceder a bases de datos, tablas y particiones de AWS Glue. Esto es necesario para que la entidad principal pueda utilizar el catálogo de datos de AWS Glue con Athena.

{
	"Version": "2012-10-17",
	"Statement": [
	    {
	        "Effect": "Allow",
	        "Action": [
	            "athena:GetDatabase",
	            "athena:GetDataCatalog",
	            "athena:GetTableMetadata",
	            "athena:ListDatabases",
	            "athena:ListDataCatalogs",
	            "athena:ListTableMetadata",
	            "athena:ListWorkGroups"
	        ],
	        "Resource": [
	            "*"
	        ]
	    },
	    {
	        "Effect": "Allow",
	        "Action": [
	            "athena:GetQueryExecution",
	            "athena:GetQueryResults",
	            "athena:GetWorkGroup",
	            "athena:StartQueryExecution",
	            "athena:StopQueryExecution"
	        ],
	        "Resource": [
	            "*"
	        ],
	        "Condition": {
	            "Null": {
	                "aws:ResourceTag/GrafanaDataSource": "false"
	            }
	        }
	    },
	    {
	        "Effect": "Allow",
	        "Action": [
	            "glue:GetDatabase",
	            "glue:GetDatabases",	            
	            "glue:GetTable",
	            "glue:GetTables",
	            "glue:GetPartition",
	            "glue:GetPartitions",
	            "glue:BatchGetPartition"
	        ],
	        "Resource": [
	            "*"
	        ]
	    },
	    {
	        "Effect": "Allow",
	        "Action": [
	            "s3:GetBucketLocation",
	            "s3:GetObject",
	            "s3:ListBucket",
	            "s3:ListBucketMultipartUploads",
	            "s3:ListMultipartUploadParts",
	            "s3:AbortMultipartUpload",
	            "s3:CreateBucket",
	            "s3:PutObject",
	            "s3:PutBucketPublicAccessBlock"
	        ],
	        "Resource": [
	            "arn:aws:s3:::grafana-athena-query-results-*"
	        ]
	    }
	]
}

AWS política gestionada: AmazonGrafanaCloudWatchAccess

Esta política otorga acceso a Amazon CloudWatch y a las dependencias necesarias para utilizarlas CloudWatch como origen de datos en Amazon Managed Grafana.

Puede asociar la AWSGrafana CloudWatchAccess política a las entidades de IAM. Amazon Managed Grafana también asocia esta política a un rol de servicio que permite a Amazon Managed Grafana llevar a cabo acciones en su nombre.

Detalles de los permisos

Esta política incluye los siguientes permisos.

• CloudWatch: permite a las entidades principales enumerar y obtener datos y registros de Amazon CloudWatch. También permite ver los datos compartidos de las cuentas de origen en CloudWatch observabilidad entre cuentas.

• Amazon EC2: permite a las entidades principales obtener detalles sobre los recursos que se están supervisando.

• Tags: permite a las entidades principales acceder a las etiquetas de los recursos, lo que permite filtrar las consultas de CloudWatch métricas.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudwatch:DescribeAlarmsForMetric",
        "cloudwatch:DescribeAlarmHistory",
        "cloudwatch:DescribeAlarms",
        "cloudwatch:ListMetrics",
        "cloudwatch:GetMetricStatistics",
        "cloudwatch:GetMetricData",
        "cloudwatch:GetInsightRuleReport"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "logs:DescribeLogGroups",
        "logs:GetLogGroupFields",
        "logs:StartQuery",
        "logs:StopQuery",
        "logs:GetQueryResults",
        "logs:GetLogEvents"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeTags",
        "ec2:DescribeInstances",
        "ec2:DescribeRegions"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "tag:GetResources",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "oam:ListSinks",
        "oam:ListAttachedLinks"
      ],
      "Resource": "*"
    }
  ]
}

Actualizaciones de Amazon Managed Grafana en las políticas administradas por AWS

Es posible consultar los detalles sobre las actualizaciones de las políticas AWS administradas por para Amazon Managed Grafana debido a que este servicio comenzó a hacer un seguimiento de estos cambios. Para obtener alertas automáticas sobre cambios en esta página, suscríbase a la fuente RSS en la página Amazon Managed Grafana document history.

Cambio	Descripción	Fecha
AWSGrafanaWorkspacePermissionManagement— obsoleto	Esta política ha sido reemplazada por AWSGrafanaWorkspacePermissionManagementV2. Esta política se considera obsoleta y se dejará de actualizar. Esta nueva política mejora la seguridad de su espacio de trabajo al proporcionar un conjunto de permisos más restrictivo.	5 de enero de 2024
AWSGrafanaWorkspacePermissionManagementV2 — Nueva política	Amazon Managed Grafana agregó una nueva política (AWSGrafanaWorkspacePermissionManagementV2) para sustituir a la política obsoleta AWSGrafanaWorkspacePermissionManagement. Esta nueva política administrada mejora la seguridad de su espacio de trabajo al proporcionar un conjunto de permisos más restrictivo.	5 de enero de 2024
AmazonGrafanaCloudWatchAccess: política nueva	Amazon Managed Grafana agregó una nueva política (AmazonGrafanaCloudWatchAccess).	24 de marzo de 2023
AWSGrafanaWorkspacePermissionManagement: actualización de una política actual	Amazon Managed Grafana agregó nuevos permisos para AWSGrafanaWorkspacePermissionManagement a fin de que los usuarios y grupos de IAM Identity Center puedan asociarse a los espacios de trabajo de Grafana. Se agregaron los siguientes permisos: sso-directory:DescribeUser y sso-directory:DescribeGroup.	14 de marzo de 2023
AWSGrafanaWorkspacePermissionManagement: actualización de una política actual	Amazon Managed Grafana agregó nuevos permisos para AWSGrafanaWorkspacePermissionManagement con el fin de que los usuarios y grupos de IAM Identity Center puedan asociarse a los espacios de trabajo de Grafana. Se agregaron los siguientes permisos: sso:DescribeRegisteredRegions, sso:GetSharedSsoConfiguration, sso:ListDirectoryAssociations, sso:GetManagedApplicationInstance, sso:ListProfiles, sso:AssociateProfile, sso:DisassociateProfile, sso:GetProfile y sso:ListProfileAssociations.	20 de diciembre de 2022
AmazonGrafanaServiceLinkedRolePolicy— Nueva política de SLR	Amazon Managed Grafana agregó una nueva política para el rol vinculado al servicio de Grafana (AmazonGrafanaServiceLinkedRolePolicy).	18 de noviembre de 2022
AWSGrafanaAccountAdministrator, AWSGrafanaConsoleReadOnlyAccess	Permita el acceso a todos los recursos de Amazon Managed Grafana.	17 de febrero de 2022
AmazonGrafanaRedshiftAccess: política nueva	Amazon Managed Grafana agregó una nueva política (AmazonGrafanaRedshiftAccess).	26 de noviembre de 2021
AmazonGrafanaAthenaAccess: política nueva	Amazon Managed Grafana agregó una nueva política (AmazonGrafanaAthenaAccess).	22 de noviembre de 2021
AWSGrafanaAccountAdministrator: actualización de una política actual	Amazon Managed Grafana eliminó los permisos de AWSGrafanaAccountAdministrator. Se eliminó el iam:CreateServiceLinkedRole permiso asignado al sso.amazonaws.com servicio y, en su lugar, le recomendamos que adjunte la AWSSSOMasterAccountAdministratorpolítica para conceder este permiso a un usuario.	13 de octubre de 2021
AWSGrafanaWorkspacePermissionManagement: actualización de una política actual	Amazon Managed Grafana agregó nuevos permisos a AWSGrafanaWorkspacePermissionManagement para que los usuarios con esta política puedan ver los métodos de autenticación asociados a los espacios de trabajo. Se agregó el permiso grafana:DescribeWorkspaceAuthentication.	21 de septiembre de 2021
AWSGrafanaConsoleReadOnlyAccess: actualización de una política actual	Amazon Managed Grafana agregó nuevos permisos a AWSGrafanaConsoleReadOnlyAccess para que los usuarios con esta política puedan ver los métodos de autenticación asociados a los espacios de trabajo. Los permisos grafana:Describe* y grafana:List* se agregaron a la política y sustituyen a los permisos anteriores, que eran más restringidos, grafana:DescribeWorkspace, grafana:ListPermissions y grafana:ListWorkspaces.	21 de septiembre de 2021
Amazon Managed Grafana comenzó a hacer un seguimiento de los cambios	Amazon Managed Grafana comenzó a hacer un seguimiento de los cambios de sus políticas AWS administradas por.	9 de septiembre de 2021