Amazon Managed Grafana のアイデンティティベースのポリシー例 - Amazon Managed Grafana
ポリシーのベストプラクティスコンソールを使用するAmazon Managed Grafana のサンプルポリシー

Amazon Managed Grafana のアイデンティティベースのポリシー例

デフォルトでは、ユーザーおよびロールには Amazon Managed Grafana リソースを作成または変更するアクセス許可がありません。また、AWS Management Console、AWS Command Line Interface (AWS CLI)、または AWS API を使用してタスクを実行することもできません。IAM 管理者は、リソースで必要なアクションを実行するための権限をユーザーに付与する IAM ポリシーを作成できます。その後、管理者はロールに IAM ポリシーを追加し、ユーザーはロールを引き受けることができます。

これらサンプルの JSON ポリシードキュメントを使用して、IAM アイデンティティベースのポリシーを作成する方法については、「IAM ユーザーガイド」の「IAM ポリシーを作成する (コンソール)」を参照してください。

Amazon Managed Grafana が定義するアクションとリソースタイプ (リソースタイプごとの ARN の形式を含む) の詳細については、「サービス認可リファレンス」の「Amazon Managed Grafana のアクション、リソース、および条件キー」を参照してください。

ポリシーのベストプラクティス

ID ベースのポリシーは、ユーザーのアカウント内で誰かが Amazon Managed Grafana リソースを作成、アクセス、または削除できるどうかを決定します。これらのアクションを実行すると、AWS アカウント に料金が発生する可能性があります。アイデンティティベースポリシーを作成したり編集したりする際には、以下のガイドラインと推奨事項に従ってください:

  • AWS マネージドポリシーを使用して開始し、最小特権の許可に移行する – ユーザーとワークロードへの許可の付与を開始するには、多くの一般的なユースケースのために許可を付与する AWS マネージドポリシーを使用します。これらは AWS アカウントで使用できます。ユースケースに応じた AWS カスタマー管理ポリシーを定義することで、許可をさらに減らすことをお勧めします。詳細については、「IAM ユーザーガイド」の「AWSマネージドポリシー」または「ジョブ機能の AWS マネージドポリシー」を参照してください。

  • 最小特権を適用する – IAM ポリシーで許可を設定する場合は、タスクの実行に必要な許可のみを付与します。これを行うには、特定の条件下で特定のリソースに対して実行できるアクションを定義します。これは、最小特権アクセス許可とも呼ばれています。IAM を使用して許可を適用する方法の詳細については、IAM ユーザーガイドのIAM でのポリシーとアクセス許可を参照してください。

  • IAM ポリシーで条件を使用してアクセスをさらに制限する - ポリシーに条件を追加して、アクションやリソースへのアクセスを制限できます。例えば、ポリシー条件を記述して、すべてのリクエストを SSL を使用して送信するように指定できます。また、AWS CloudFormation などの特定の AWS のサービス を介して使用する場合、条件を使用してサービスアクションへのアクセスを許可することもできます。詳細については、「IAM ユーザーガイド」の [IAM JSON policy elements: Condition] (IAM JSON ポリシー要素:条件) を参照してください。

  • IAM Access Analyzer を使用して IAM ポリシーを検証し、安全で機能的な権限を確保する - IAM Access Analyzer は、新規および既存のポリシーを検証して、ポリシーが IAM ポリシー言語 (JSON) および IAM のベストプラクティスに準拠するようにします。IAM アクセスアナライザーは 100 を超えるポリシーチェックと実用的な推奨事項を提供し、安全で機能的なポリシーの作成をサポートします。詳細については、「IAM ユーザーガイド」の「IAM Access Analyzer でポリシーを検証する」を参照してください。

  • 多要素認証 (MFA) を要求する – AWS アカウント で IAM ユーザーまたはルートユーザーを要求するシナリオがある場合は、セキュリティを強化するために MFA をオンにします。API オペレーションが呼び出されるときに MFA を必須にするには、ポリシーに MFA 条件を追加します。詳細については、「IAM ユーザーガイド」の「MFA を使用した安全な API アクセス」を参照してください。

IAM でのベストプラクティスの詳細については、IAM ユーザーガイドのIAM でのセキュリティのベストプラクティスを参照してください。

Amazon Managed Grafana コンソールの使用

コンソールにアクセスするには、一連の最小限のアクセス許可が必要です。これらのアクセス許可により、AWS アカウント のリソースの詳細をリストおよび表示できます。最小限の必要なアクセス許可よりも制限が厳しいアイデンティティベースのポリシーを作成すると、そのポリシーを持つエンティティ (ユーザーまたはロール) に対してコンソールが意図したとおりに機能しなくなります。

Amazon Managed Grafana のサンプルポリシー

このセクションでは、Amazon Managed Grafana のいくつかのシナリオに役立つ、ID ベースのポリシーについて説明します。

SAML を使用する Grafana 管理者

ユーザー認証に SAML を使用する場合、Amazon Managed Grafana を作成および管理する管理者には、次のポリシーが必要です。

  • AWSGrafanaAccountAdministrator または Amazon Managed Grafana ワークスペースを作成および管理する同等のアクセス許可。

  • Amazon Managed Grafana ワークスペースを Grafana Enterprise にアップグレードする場合は、AWSMarketplaceManageSubscriptions ポリシーまたは同等のアクセス許可。

IAM Identity Center を使用する管理アカウントの Grafana 管理者

組織全体で Amazon Managed Grafana ワークスペースを作成および管理するためのアクセス許可を付与し、IAM Identity Center などの依存関係を有効にするには、[AWSGrafanaAccountAdministrator] 、[AWSSSOMasterAccountAdministrator] および [AWSSSODirectoryAdministrator] ポリシーをユーザーに割り当てます。さらに、Amazon Managed Grafana ワークスペースを Grafana Enterprise にアップグレードするには、ユーザーに [AWSMarketplaceManageSubscriptions] IAM ポリシーまたは同等のアクセス許可が必要です。

Amazon Managed Grafana ワークスペースの作成時にサービス管理のアクセス許可を使用する場合、ワークスペースを作成するユーザーに iam:CreateRole、iam:CreatePolicy、および iam:AttachRolePolicy 権限も必要です。これらの権限は、AWS CloudFormation StackSets を使用して、組織のアカウント内のデータソースを読み取ることを許可するポリシーを展開するために必要です。

重要

ユーザーに、iam:CreateRole、iam:CreatePolicy、および iam:AttachRolePolicy アクセス許可を付与すると、そのユーザーには、AWS アカウントへの完全な管理アクセス許可が与えられます。たとえば、これらのアクセス許可を持つユーザーは、すべてのリソースに対する完全なアクセス許可を持つポリシーを作成し、そのポリシーを任意のロールにアタッチできます。これらのアクセス許可を付与するユーザーには十分注意してください。

AWSGrafanaAccountAdministrator に付与された権限を確認するには、「AWS マネージドポリシー: AWSGrafanaAccountAdministrator」を参照してください。

IAM Identity Center を使用するメンバーアカウントの Grafana 管理者

組織のメンバーアカウントで Amazon Managed Grafana ワークスペースを作成および管理するためのアクセス許可を付与するには、[AWSGrafanaAccountAdministrator]、[AWSSSOMemberAccountAdministrator] および [AWSSSODirectoryAdministrator] ポリシーをユーザーに割り当てます。さらに、Amazon Managed Grafana ワークスペースを Grafana Enterprise にアップグレードするには、ユーザーに [AWSMarketplaceManageSubscriptions] IAM ポリシーまたは同等のアクセス許可が必要です。

Amazon Managed Grafana ワークスペースの作成時にサービス管理のアクセス許可を使用する場合、ワークスペースを作成するユーザーに iam:CreateRole、iam:CreatePolicy、および iam:AttachRolePolicy 権限も必要です。これらはユーザーがアカウント内のデータソースを読み取るために必要です。

重要

ユーザーに、iam:CreateRole、iam:CreatePolicy、および iam:AttachRolePolicy アクセス許可を付与すると、そのユーザーには、AWS アカウントへの完全な管理アクセス許可が与えられます。たとえば、これらのアクセス許可を持つユーザーは、すべてのリソースに対する完全なアクセス許可を持つポリシーを作成し、そのポリシーを任意のロールにアタッチできます。これらのアクセス許可を付与するユーザーには十分注意してください。

AWSGrafanaAccountAdministrator に付与された権限を確認するには、「AWS マネージドポリシー: AWSGrafanaAccountAdministrator」を参照してください。

Amazon Managed Grafana ワークスペースとユーザーを IAM Identity Center を使用する単一スタンドアロンアカウントで作成および管理する

スタンドアロンの AWS アカウントとは、まだ組織のメンバーではないアカウントのことです。Organizations の詳細については、「AWS Organizations とは」を参照してください。

スタンドアロンアカウントで Amazon Managed Grafana ワークスペースとユーザーを作成および管理するためのアクセス許可を付与するには、[AWSGrafanaAccountAdministrator]、[AWSSSOMasterAccountAdministrator]、[AWSOrganizationsFullAccess]、[AWSSSODirectoryAdministrator] ポリシーをユーザーに割り当てます。さらに、Amazon Managed Grafana ワークスペースを Grafana Enterprise にアップグレードするには、ユーザーに [AWSMarketplaceManageSubscriptions] IAM ポリシーまたは同等のアクセス許可が必要です。

重要

ユーザーに、iam:CreateRole、iam:CreatePolicy、および iam:AttachRolePolicy アクセス許可を付与すると、そのユーザーには、AWS アカウントへの完全な管理アクセス許可が与えられます。たとえば、これらのアクセス許可を持つユーザーは、すべてのリソースに対する完全なアクセス許可を持つポリシーを作成し、そのポリシーを任意のロールにアタッチできます。これらのアクセス許可を付与するユーザーには十分注意してください。

AWSGrafanaAccountAdministrator に付与された権限を確認するには、「AWS マネージドポリシー: AWSGrafanaAccountAdministrator」を参照してください。

Amazon Managed Grafana に対するアクセス許可のユーザーへの割り当ておよび割り当て解除

ワークスペースのユーザーに Grafana 管理者アクセス許可を付与するなど、アカウント内の Amazon Managed Grafana ワークスペースへの他のユーザーのアクセスを管理するアクセス許可を付与するには、[AWSGrafanaWorkspacePermissionManagementV2] ポリシーをそのユーザーに割り当てます。IAM Identity Center を使用してこのワークスペース内のユーザーを管理する場合、ユーザーには [AWSSSOReadOnly] ポリシーと [AWSSSODirectoryReadOnly] ポリシーも必要です。

AWSGrafanaWorkspacePermissionManagementV2 に付与された権限を確認するには、「AWS マネージドポリシー: AWSGrafanaWorkspacePermissionManagementV2 」を参照してください。

Amazon Managed Grafana の読み取り専用アクセス許可

ワークスペースの一覧および表示、Grafana ワークスペースコンソールを開くなどの読み取りアクションのアクセス許可を付与するには、[AWSGrafanaConsoleReadOnlyAccess]、[AWSSSOReadOnly] および [AWSSSODirectoryReadOnly] ポリシーをユーザーまたは IAM ロールに割り当てます。

AWSGrafanaConsoleReadOnlyAccess に付与された権限を確認するには、「AWS マネージドポリシー: AWSGrafanaConsoleReadOnlyAccess 」を参照してください。