Exemples de politiques basées sur l'identité pour Amazon Managed Grafana

Par défaut, les utilisateurs et les rôles ne sont pas autorisés à créer ou à modifier les ressources Amazon Managed Grafana. Ils ne peuvent pas non plus effectuer de tâches à l'aide de l'API AWS Management Console, AWS Command Line Interface (AWS CLI) ou de AWS l'API. Pour octroyer aux utilisateurs des autorisations d’effectuer des actions sur les ressources dont ils ont besoin, un administrateur IAM peut créer des politiques IAM. L’administrateur peut ensuite ajouter les politiques IAM aux rôles et les utilisateurs peuvent assumer les rôles.

Pour apprendre à créer une politique basée sur l’identité IAM à l’aide de ces exemples de documents de politique JSON, consultez Création de politiques dans l’onglet JSON dans le Guide de l’utilisateur IAM.

Pour plus de détails sur les actions et les types de ressources définis par Amazon Managed Grafana, y compris le format des ARN pour chacun des types de ressources, consultez la section Actions, ressources et clés de condition pour Amazon Managed Grafana dans la référence d'autorisation de service.

Bonnes pratiques en matière de politiques

Les politiques basées sur l'identité déterminent si quelqu'un peut créer, accéder ou supprimer des ressources Amazon Managed Grafana dans votre compte. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :

• Commencez AWS par les politiques gérées et passez aux autorisations du moindre privilège : pour commencer à accorder des autorisations à vos utilisateurs et à vos charges de travail, utilisez les politiques AWS gérées qui accordent des autorisations pour de nombreux cas d'utilisation courants. Ils sont disponibles dans votre Compte AWS. Nous vous recommandons de réduire davantage les autorisations en définissant des politiques gérées par les AWS clients spécifiques à vos cas d'utilisation. Pour plus d’informations, consultez politiques gérées par AWS ou politiques gérées par AWS pour les activités professionnelles dans le Guide de l’utilisateur IAM.

• Accorder les autorisations de moindre privilège : lorsque vous définissez des autorisations avec des politiques IAM, accordez uniquement les autorisations nécessaires à l’exécution d’une seule tâche. Pour ce faire, vous définissez les actions qui peuvent être entreprises sur des ressources spécifiques dans des conditions spécifiques, également appelées autorisations de moindre privilège. Pour plus d’informations sur l’utilisation de IAM pour appliquer des autorisations, consultez politiques et autorisations dans IAM dans le Guide de l’utilisateur IAM.

• Utiliser des conditions dans les politiques IAM pour restreindre davantage l’accès : vous pouvez ajouter une condition à vos politiques afin de limiter l’accès aux actions et aux ressources. Par exemple, vous pouvez écrire une condition de politique pour spécifier que toutes les demandes doivent être envoyées via SSL. Vous pouvez également utiliser des conditions pour accorder l'accès aux actions de service si elles sont utilisées par le biais d'un service spécifique Service AWS, tel que AWS CloudFormation. Pour plus d’informations, consultez Conditions pour éléments de politique JSON IAM dans le Guide de l’utilisateur IAM.

• Utilisez IAM Access Analyzer pour valider vos politiques IAM afin de garantir des autorisations sécurisées et fonctionnelles : IAM Access Analyzer valide les politiques nouvelles et existantes de manière à ce que les politiques IAM respectent le langage de politique IAM (JSON) et les bonnes pratiques IAM. IAM Access Analyzer fournit plus de 100 vérifications de politiques et des recommandations exploitables pour vous aider à créer des politiques sécurisées et fonctionnelles. Pour plus d’informations, consultez Validation de politique IAM Access Analyzer dans le Guide de l’utilisateur IAM.

• Exiger l'authentification multifactorielle (MFA) : si vous avez un scénario qui nécessite des utilisateurs IAM ou un utilisateur root, activez l'authentification MFA pour une sécurité accrue. Compte AWS Pour exiger le MFA lorsque des opérations d’API sont appelées, ajoutez des conditions MFA à vos politiques. Pour plus d’informations, consultez Configuration de l’accès aux API protégé par MFA dans le Guide de l’utilisateur IAM.

Pour plus d’informations sur les bonnes pratiques dans IAM, consultez Bonnes pratiques de sécurité dans IAM dans le Guide de l’utilisateur IAM.

Utilisation de la console Amazon Managed Grafana

Pour accéder à la console , vous devez disposer d’un ensemble minimum d’autorisations. Ces autorisations doivent vous permettre de répertorier et d'afficher les détails des ressources de votre Compte AWS. Si vous créez une stratégie basée sur l’identité qui est plus restrictive que l’ensemble minimum d’autorisations requis, la console ne fonctionnera pas comme prévu pour les entités (utilisateurs ou rôles) tributaires de cette stratégie.

Exemples de politiques pour Amazon Managed Grafana

Cette section contient des politiques basées sur l'identité qui sont utiles pour plusieurs scénarios Amazon Managed Grafana.

Administrateur Grafana utilisant SAML

Si vous utilisez SAML pour l'authentification de vos utilisateurs, l'administrateur qui crée et gère Amazon Managed Grafana doit respecter les politiques suivantes :

• AWSGrafanaAccountAdministratorou les autorisations équivalentes pour créer et gérer les espaces de travail Amazon Managed Grafana.

• La AWSMarketplaceManageSubscriptionspolitique ou les autorisations équivalentes, si vous souhaitez mettre à niveau un espace de travail Grafana géré par Amazon vers Grafana Enterprise.

Administrateur Grafana dans un compte de gestion utilisant IAM Identity Center

Pour accorder des autorisations permettant de créer et de gérer des espaces de travail Amazon Managed Grafana dans l'ensemble d'une organisation, et pour activer des dépendances telles que IAM Identity Center, attribuez les AWSSSOMasterAccountAdministratoret les AWSGrafanaAccountAdministratorAWSSSODirectoryAdministratorpolitiques à un utilisateur. En outre, pour mettre à niveau un espace de travail Grafana géré par Amazon vers Grafana Enterprise, un utilisateur doit disposer de la politique AWSMarketplaceManageSubscriptionsIAM ou d'autorisations équivalentes.

Si vous souhaitez utiliser les autorisations gérées par les services lorsque vous créez un espace de travail Grafana géré par Amazon, l'utilisateur qui crée l'espace de travail doit également disposer des autorisationsiam:CreateRole, iam:CreatePolicy et. iam:AttachRolePolicy Ils sont nécessaires pour AWS CloudFormation StackSets déployer des politiques qui vous permettent de lire les sources de données dans les comptes de l'organisation.

Important

L'octroi à un utilisateur des autorisations iam:CreateRole, iam:CreatePolicy et iam:AttachRolePolicy lui permet de bénéficier d'un accès administratif complet à votre compte AWS . Par exemple, un utilisateur disposant de ces autorisations peut créer une politique disposant d'autorisations complètes pour toutes les ressources et attacher cette politique à n'importe quel rôle. Sélectionnez attentivement les personnes auxquelles vous accordez ces autorisations.

Pour voir les autorisations accordées à AWSGrafanaAccountAdministrator, voir AWS politique gérée : AWSGrafanaAccountAdministrator

Administrateur Grafana dans un compte membre utilisant IAM Identity Center

Pour accorder l'autorisation de créer et de gérer des espaces de travail Amazon Managed Grafana dans le compte membre d'une organisation, attribuez les AWSGrafanaAccountAdministratorAWSSSOMemberAccountAdministratoret les AWSSSODirectoryAdministratorpolitiques à un utilisateur. En outre, pour mettre à niveau un espace de travail Grafana géré par Amazon vers Grafana Enterprise, un utilisateur doit disposer de la politique AWSMarketplaceManageSubscriptionsIAM ou d'autorisations équivalentes.

Si vous souhaitez utiliser les autorisations gérées par les services lorsque vous créez un espace de travail Grafana géré par Amazon, l'utilisateur qui crée l'espace de travail doit également disposer des autorisationsiam:CreateRole, iam:CreatePolicy et. iam:AttachRolePolicy Ils sont nécessaires pour permettre à l'utilisateur de lire les sources de données du compte.

Important

L'octroi à un utilisateur des autorisations iam:CreateRole, iam:CreatePolicy et iam:AttachRolePolicy lui permet de bénéficier d'un accès administratif complet à votre compte AWS . Par exemple, un utilisateur disposant de ces autorisations peut créer une politique disposant d'autorisations complètes pour toutes les ressources et attacher cette politique à n'importe quel rôle. Sélectionnez attentivement les personnes auxquelles vous accordez ces autorisations.

Pour voir les autorisations accordées à AWSGrafanaAccountAdministrator, voir AWS politique gérée : AWSGrafanaAccountAdministrator

Créez et gérez les espaces de travail et les utilisateurs Amazon Managed Grafana dans un seul compte autonome à l'aide d'IAM Identity Center

Un AWS compte autonome est un compte qui n'est pas encore membre d'une organisation. Pour plus d'informations sur les organisations, voir Qu'est-ce que c'est AWS Organizations ?

Pour accorder des autorisations permettant de créer et de gérer des espaces de travail et des utilisateurs Amazon Managed Grafana dans un compte autonome, attribuez les AWSSSODirectoryAdministratorpolitiques AWSOrganizationsFullAccesset AWSGrafanaAccountAdministratorAWSSSOMasterAccountAdministrator, à un utilisateur. En outre, pour mettre à niveau un espace de travail Grafana géré par Amazon vers Grafana Enterprise, un utilisateur doit disposer de la politique AWSMarketplaceManageSubscriptionsIAM ou d'autorisations équivalentes.

Important

L'octroi à un utilisateur des autorisations iam:CreateRole, iam:CreatePolicy et iam:AttachRolePolicy lui permet de bénéficier d'un accès administratif complet à votre compte AWS . Par exemple, un utilisateur disposant de ces autorisations peut créer une politique disposant d'autorisations complètes pour toutes les ressources et attacher cette politique à n'importe quel rôle. Sélectionnez attentivement les personnes auxquelles vous accordez ces autorisations.

Pour voir les autorisations accordées à AWSGrafanaAccountAdministrator, voir AWS politique gérée : AWSGrafanaAccountAdministrator

Attribuer et annuler l'accès des utilisateurs à Amazon Managed Grafana

Pour accorder des autorisations permettant de gérer l'accès des autres utilisateurs aux espaces de travail Grafana gérés par Amazon dans le compte, y compris pour accorder des autorisations d'administrateur Grafana à ces utilisateurs pour les espaces de travail, attribuez la AWSGrafanaWorkspacePermissionManagementV2 politique 2 à cet utilisateur. Si vous utilisez IAM Identity Center pour gérer les utilisateurs de cet espace de travail, l'utilisateur a également besoin des AWSSSODirectoryReadOnlypolitiques AWSSSOReadOnlyet.

Pour voir les autorisations accordées à AWSGrafanaWorkspacePermissionManagementV2, voir AWS politique gérée : AWSGrafanaWorkspacePermissionManagementV2

Autorisations en lecture seule d'Amazon Managed Grafana

Pour accorder des autorisations pour les actions de lecture, telles que la liste et l'affichage des espaces de travail et l'ouverture de la console de l'espace de travail Grafana, attribuez AWSGrafanaConsoleReadOnlyAccessles AWSSSOReadOnlypolitiques AWSSSODirectoryReadOnlyet à un utilisateur ou à un rôle IAM.

Pour voir les autorisations accordées à AWSGrafanaConsoleReadOnlyAccess, voirAWS politique gérée : AWSGrafanaConsoleReadOnlyAccess .