Como o Amazon Managed Grafana trabalhaAWS Organizations para acesso à fonte deAWS dados

ComAWS Organizations, você pode gerenciar centralmente a configuração da fonte de dados e as configurações de permissão para váriasAWS contas. Em um espaçoConta da AWS de trabalho Amazon Managed Grafana, você pode especificar outras unidades organizacionais para disponibilizar suas fontes deAWS dados para visualização na conta principal.

Por exemplo, você pode usar uma conta na organização como uma conta de gerenciamento do Amazon Managed Grafana e dar a essa conta acesso a fontes de dados em outras contas da organização. Na conta de gerenciamento, liste todas as unidades organizacionais que têm fontes deAWS dados que você deseja acessar com a conta de gerenciamento. Isso cria automaticamente as políticas de funções e permissões necessárias para configurar essas fontes de dados, que você pode ver no console do Grafana no espaço de trabalho Amazon Managed Grafana.

Para obter mais informações sobre Organizations, consulte O que éAWS Organizations.

O Amazon Managed Grafana usaAWS CloudFormation StackSets para criar automaticamente as funçõesAWS Identity and Access Management (IAM) necessárias para que o Amazon Managed Grafana se conecte às fontes de dados em toda a suaAWS organização. Antes que o Amazon Managed Grafana possa gerenciar suas políticas de IAM para acessar fontes de dados em sua organização, você deve habilitá-loAWS CloudFormation StackSets na conta de gerenciamento da sua organização. O Amazon Managed Grafana ativa isso automaticamente na primeira vez que é necessário.

Cenários de implantação para integração com organizaçõesAWS IAM Identity Center (successor to AWS Single Sign-On) e organizações

Se você estiver usando o Amazon Managed Grafana com ambasAWS IAM Identity Center (successor to AWS Single Sign-On) Organizations, recomendamos que você crie um espaço de trabalho Amazon Managed Grafana em sua organização usando um dos três cenários a seguir. Para cada cenário, você precisa estar conectado a uma conta com permissões suficientes. Para obter mais informações, consulte Exemplos de políticas para Grafana Amazon.

Conta autônoma

Uma conta independente é umaAWS conta que não é membro de uma organização nas Organizations. Esse é um cenário provável se você estiver experimentandoAWS pela primeira vez.

Nesse cenário, o Amazon Managed Grafana ativaAWS IAM Identity Center (successor to AWS Single Sign-On) automaticamente Organizations quando você está conectado a uma conta que tem as AWSSSODirectoryAdministratorpolíticas AWSGrafanaAccountAdministratorAWSSSOMemberAccountAdministrator, e. Para obter mais informações, consulte Crie e gerencie espaços de trabalho e usuários do Amazon Managed Grafana em uma única conta autônoma usando o IAM Identity Center.

Conta de membro de uma organização existente na qual o IAM Identity Center já está configurado

Para criar um espaço de trabalho em uma conta de membro, você deve estar conectado a uma conta que tenha as AWSSSODirectoryAdministratorpolíticas AWSGrafanaAccountAdministratorAWSSSOMemberAccountAdministrator, e. Para obter mais informações, consulte Administrador do Grafana em uma conta de membro usando o IAM Identity Center.

Se você criar um espaço de trabalho em uma conta de membro e quiser que esse espaço de trabalho acesse recursos de outrasAWS contas em sua organização, você deve usar as permissões gerenciadas pelo cliente no espaço de trabalho. Para obter mais informações, consulte Permissões gerenciadas pelo cliente.

Para usar permissões gerenciadas por serviços para permitir que um espaço de trabalho acesse recursos de outrasAWS contas na organização, você precisaria criar o espaço de trabalho na conta de gerenciamento da organização. No entanto, não é uma boa prática criar espaços de trabalho Amazon Managed Grafana ou outros recursos na conta de gerenciamento de uma organização. Para mais informações sobre as práticas recomendadas da organização, consulte Práticas recomendadas para a conta de gerenciamento.

nota

Se vocêAWS IAM Identity Center (successor to AWS Single Sign-On) ativou a conta de gerenciamento antes de 25 de novembro de 2019, também deverá habilitar os aplicativos integrados ao IAM Identity Center na conta de gerenciamento. Opcionalmente, você também pode ativar aplicativos integrados ao IAM Identity Center nas contas dos membros depois de fazer isso na conta de gerenciamento. Para habilitar esses aplicativos, escolha Habilitar acesso na página Configurações do IAM Identity Center na seção Aplicativos integrados ao IAM Identity Center. Para mais informações, consulte Ativação de aplicativos integrados ao IAM Identity Center.

Conta de membro de uma organização existente na qual o IAM Identity Center ainda não foi implantado

Nesse cenário, entre primeiro como administrador da organização e habilite o IAM Identity Center na organização. Em seguida, crie o espaço de trabalho Amazon Managed Grafana em uma conta de membro na organização.

Se você não for administrador da organização, entre em contato com um administrador de Organizations e solicite que ele habilite o IAM Identity Center. Depois que o IAM Identity Center for ativado, você poderá criar o espaço de trabalho em uma conta de membro.

Se você criar um espaço de trabalho em uma conta de membro e quiser que esse espaço de trabalho acesse recursos de outrasAWS contas em sua organização, você deve usar as permissões gerenciadas pelo cliente no espaço de trabalho. Para obter mais informações, consulte Permissões gerenciadas pelo cliente.

Para criar um espaço de trabalho em uma conta de membro, você deve estar conectado a uma conta que tenha as AWSSSODirectoryAdministratorpolíticas AWSGrafanaAccountAdministratorAWSSSOMemberAccountAdministrator, e. Para obter mais informações, consulte Administrador do Grafana em uma conta de membro usando o IAM Identity Center.