Esempi di policy basate sull'identità per Amazon Managed Grafana

Per impostazione predefinita, gli utenti e i ruoli non sono autorizzati a creare o modificare risorse Amazon Managed Grafana. Inoltre, non possono eseguire attività utilizzando AWS Management Console, AWS Command Line Interface (AWS CLI) o AWS API. Per concedere agli utenti l'autorizzazione a eseguire azioni sulle risorse di cui hanno bisogno, un amministratore IAM può creare policy IAM. L'amministratore può quindi aggiungere le policy IAM ai ruoli e gli utenti possono assumere i ruoli.

Per informazioni su come creare una policy basata su identità IAM utilizzando questi documenti di policy JSON di esempio, consulta Creazione di policy IAM nella Guida per l'utente di IAM.

Per informazioni dettagliate sulle azioni e sui tipi di risorse definiti da Amazon Managed Grafana, incluso il formato degli ARN per ciascun tipo di risorsa, consulta Azioni, risorse e chiavi di condizione per Amazon Managed Grafana nel Service Authorization Reference.

Best practice per le policy

Le politiche basate sull'identità determinano se qualcuno può creare, accedere o eliminare risorse Amazon Managed Grafana nel tuo account. Queste azioni possono comportare costi aggiuntivi per l' Account AWS. Quando crei o modifichi policy basate su identità, segui queste linee guida e raccomandazioni:

• Inizia con le policy AWS gestite e passa alle autorizzazioni con privilegi minimi: per iniziare a concedere autorizzazioni a utenti e carichi di lavoro, utilizza le policy gestite che concedono le autorizzazioni per molti casi d'uso comuni.AWS Sono disponibili nel tuo. Account AWS Ti consigliamo di ridurre ulteriormente le autorizzazioni definendo politiche gestite dai AWS clienti specifiche per i tuoi casi d'uso. Per ulteriori informazioni, consulta Policy gestite da AWS o Policy gestite da AWS per le funzioni dei processi nella Guida per l'utente IAM.

• Applica le autorizzazioni con privilegi minimi: quando imposti le autorizzazioni con le policy IAM, concedi solo le autorizzazioni richieste per eseguire un'attività. Puoi farlo definendo le azioni che possono essere intraprese su risorse specifiche in condizioni specifiche, note anche come autorizzazioni con privilegi minimi. Per ulteriori informazioni sull'utilizzo di IAM per applicare le autorizzazioni, consulta Policy e autorizzazioni in IAM nella Guida per l'utente di IAM.

• Condizioni d'uso nelle policy IAM per limitare ulteriormente l'accesso: per limitare l'accesso ad azioni e risorse puoi aggiungere una condizione alle tue policy. Ad esempio, è possibile scrivere una condizione di policy per specificare che tutte le richieste devono essere inviate utilizzando SSL. Puoi anche utilizzare le condizioni per concedere l'accesso alle azioni del servizio se vengono utilizzate tramite uno specifico Servizio AWS, ad esempio AWS CloudFormation. Per ulteriori informazioni, consulta la sezione Elementi delle policy JSON di IAM: condizione nella Guida per l'utente di IAM.

• Utilizzo di IAM Access Analyzer per convalidare le policy IAM e garantire autorizzazioni sicure e funzionali: IAM Access Analyzer convalida le policy nuove ed esistenti in modo che aderiscano alla sintassi della policy IAM (JSON) e alle best practice di IAM. IAM Access Analyzer offre oltre 100 controlli delle policy e consigli utili per creare policy sicure e funzionali. Per ulteriori informazioni, consulta Convalida delle policy per IAM Access Analyzer nella Guida per l'utente di IAM.

• Richiedi l'autenticazione a più fattori (MFA): se hai uno scenario che richiede utenti IAM o un utente root nel Account AWS tuo, attiva l'MFA per una maggiore sicurezza. Per richiedere la MFA quando vengono chiamate le operazioni API, aggiungi le condizioni MFA alle policy. Per ulteriori informazioni, consulta Configurazione dell'accesso alle API protetto con MFA nella Guida per l'utente di IAM.

Per maggiori informazioni sulle best practice in IAM, consulta Best practice di sicurezza in IAM nella Guida per l'utente di IAM.

Utilizzo della console Amazon Managed Grafana

Per accedere alla console è necessario disporre di un insieme di autorizzazioni minimo. Queste autorizzazioni devono consentirti di elencare e visualizzare i dettagli sulle risorse del tuo. Account AWS Se crei una policy basata sull'identità più restrittiva rispetto alle autorizzazioni minime richieste, la console non funzionerà nel modo previsto per le entità (utenti o ruoli) associate a tale policy.

Politiche di esempio per Amazon Managed Grafana

Questa sezione contiene politiche basate sull'identità utili per diversi scenari di Amazon Managed Grafana.

Amministratore Grafana che utilizza SAML

Se utilizzi SAML per l'autenticazione degli utenti, l'amministratore che crea e gestisce Amazon Managed Grafana necessita delle seguenti politiche:

• AWSGrafanaAccountAdministratoro le autorizzazioni equivalenti per creare e gestire aree di lavoro Amazon Managed Grafana.

• La AWSMarketplaceManageSubscriptionspolicy o autorizzazioni equivalenti, se desideri aggiornare un'area di lavoro Amazon Managed Grafana a Grafana Enterprise.

Amministratore Grafana in un account di gestione utilizzando IAM Identity Center

Per concedere le autorizzazioni per creare e gestire aree di lavoro Amazon Managed Grafana in un'intera organizzazione e per abilitare dipendenze come IAM Identity Center, assegna AWSGrafanaAccountAdministratorle AWSSSOMasterAccountAdministratorpolitiche a un utente. AWSSSODirectoryAdministrator Inoltre, per aggiornare un'area di lavoro Amazon Managed Grafana a Grafana Enterprise, un utente deve disporre della policy AWSMarketplaceManageSubscriptionsIAM o delle autorizzazioni equivalenti.

Se desideri utilizzare le autorizzazioni gestite dal servizio quando crei un'area di lavoro Amazon Managed Grafana, l'utente che crea l'area di lavoro deve disporre anche delle autorizzazioni, e. iam:CreateRole iam:CreatePolicy iam:AttachRolePolicy Queste sono necessarie per implementare politiche che consentano di leggere le fonti di dati negli account dell'organizzazione. AWS CloudFormation StackSets

Importante

Se si concedono a un utente le autorizzazioni iam:AttachRolePolicy, iam:CreateRole e iam:CreatePolicy, questo disporrà dell'accesso amministrativo completo all'account AWS . Ad esempio, un utente con queste autorizzazioni può creare una policy che dispone di autorizzazioni complete per tutte le risorse e collegare tale policy a qualsiasi ruolo. Presta molta attenzione a chi concedi queste autorizzazioni.

Per visualizzare le autorizzazioni concesse a AWSGrafanaAccountAdministrator, vedere AWS politica gestita: AWSGrafanaAccountAdministrator

Amministratore Grafana in un account membro utilizzando IAM Identity Center

Per concedere le autorizzazioni per creare e gestire aree di lavoro Amazon Managed Grafana nell'account membro di un'organizzazione, assegna le politiche e AWSGrafanaAccountAdministratorAWSSSODirectoryAdministratorle politiche AWSSSOMemberAccountAdministratora un utente. Inoltre, per aggiornare un'area di lavoro Amazon Managed Grafana a Grafana Enterprise, un utente deve disporre della policy AWSMarketplaceManageSubscriptionsIAM o delle autorizzazioni equivalenti.

Se desideri utilizzare le autorizzazioni gestite dal servizio quando crei un'area di lavoro Amazon Managed Grafana, l'utente che crea l'area di lavoro deve disporre anche delle autorizzazioni, e. iam:CreateRole iam:CreatePolicy iam:AttachRolePolicy Queste sono necessarie per consentire all'utente di leggere le fonti di dati nell'account.

Importante

Se si concedono a un utente le autorizzazioni iam:AttachRolePolicy, iam:CreateRole e iam:CreatePolicy, questo disporrà dell'accesso amministrativo completo all'account AWS . Ad esempio, un utente con queste autorizzazioni può creare una policy che dispone di autorizzazioni complete per tutte le risorse e collegare tale policy a qualsiasi ruolo. Presta molta attenzione a chi concedi queste autorizzazioni.

Per visualizzare le autorizzazioni concesse a AWSGrafanaAccountAdministrator, vedere AWS politica gestita: AWSGrafanaAccountAdministrator

Crea e gestisci gli spazi di lavoro e gli utenti di Amazon Managed Grafana in un unico account autonomo utilizzando IAM Identity Center

Un AWS account autonomo è un account che non è ancora membro di un'organizzazione. Per ulteriori informazioni sulle organizzazioni, vedi Cos'è AWS Organizations?

Per concedere le autorizzazioni per creare e gestire aree di lavoro e utenti Amazon Managed Grafana in un account autonomo, assegna le politiche e AWSGrafanaAccountAdministratorle AWSSSOMasterAccountAdministratorrelative politiche a un utente. AWSOrganizationsFullAccessAWSSSODirectoryAdministrator Inoltre, per aggiornare un'area di lavoro Amazon Managed Grafana a Grafana Enterprise, un utente deve disporre della policy AWSMarketplaceManageSubscriptionsIAM o delle autorizzazioni equivalenti.

Importante

Se si concedono a un utente le autorizzazioni iam:AttachRolePolicy, iam:CreateRole e iam:CreatePolicy, questo disporrà dell'accesso amministrativo completo all'account AWS . Ad esempio, un utente con queste autorizzazioni può creare una policy che dispone di autorizzazioni complete per tutte le risorse e collegare tale policy a qualsiasi ruolo. Presta molta attenzione a chi concedi queste autorizzazioni.

Per vedere le autorizzazioni concesse a, consulta AWSGrafanaAccountAdministratorAWS politica gestita: AWSGrafanaAccountAdministrator

Assegna e annulla l'assegnazione dell'accesso degli utenti ad Amazon Managed Grafana

Per concedere le autorizzazioni per gestire l'accesso di altri utenti alle aree di lavoro Amazon Managed Grafana nell'account, inclusa la concessione delle autorizzazioni di amministratore Grafana a quegli utenti per le aree di lavoro, assegna la politica 2 a quell'utente. AWSGrafanaWorkspacePermissionManagementV2 Se utilizzi IAM Identity Center per gestire gli utenti in questo spazio di lavoro, l'utente necessita anche delle policy and. AWSSSOReadOnlyAWSSSODirectoryReadOnly

Per vedere le autorizzazioni concesse a AWSGrafanaWorkspacePermissionManagementV2, vedi AWS politica gestita: AWSGrafanaWorkspacePermissionManagementV2

Autorizzazioni di sola lettura per Amazon Managed Grafana

Per concedere le autorizzazioni per le azioni di lettura, come elencare e visualizzare le aree di lavoro e aprire la console dell'area di lavoro Grafana, assegna AWSSSODirectoryReadOnlyle politiche AWSSSOReadOnlye a un utente o a un ruolo IAM. AWSGrafanaConsoleReadOnlyAccess

Per vedere le autorizzazioni concesse a, consulta. AWSGrafanaConsoleReadOnlyAccessAWS politica gestita: AWSGrafanaConsoleReadOnlyAccess