AWS verwaltete Richtlinien für Amazon Managed Grafana

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Eine AWS verwaltete Richtlinie ist eine eigenständige Richtlinie, die von erstellt und verwaltet AWS wird. AWS Verwaltete Richtlinien sind so konzipiert, dass sie Berechtigungen für viele gängige Anwendungsfälle bereitstellen, sodass Sie damit beginnen können, Benutzern, Gruppen und Rollen Berechtigungen zuzuweisen.

Beachten Sie, dass AWS verwaltete Richtlinien für Ihre speziellen Anwendungsfälle möglicherweise keine Berechtigungen mit den geringsten Rechten gewähren, da sie allen AWS Kunden zur Verfügung stehen. Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom Kunden verwaltete Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind.

Sie können die in AWS verwalteten Richtlinien definierten Berechtigungen nicht ändern. Wenn die in einer AWS verwalteten Richtlinie definierten Berechtigungen AWS aktualisiert werden, wirkt sich das Update auf alle Prinzidentitäten (Benutzer, Gruppen und Rollen) aus, denen die Richtlinie zugeordnet ist. AWS aktualisiert eine AWS verwaltete Richtlinie höchstwahrscheinlich, wenn eine neue Richtlinie eingeführt AWS-Service wird oder neue API-Operationen für bestehende Dienste verfügbar werden.

Weitere Informationen finden Sie unter Von AWS verwaltete Richtlinien im IAM-Benutzerhandbuch.

AWS verwaltete Richtlinie: AWSGrafana AccountAdministrator

AWSGrafanaAccountAdministrator Die Richtlinie ermöglicht den Zugriff innerhalb von Amazon Managed Grafana, um Konten und Arbeitsbereiche für das gesamte Unternehmen zu erstellen und zu verwalten.

Sie können sie an Ihre AWSGrafana AccountAdministrator IAM-Entitäten anhängen.

Details zu Berechtigungen

Diese Richtlinie umfasst die folgenden Berechtigungen.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSGrafanaOrganizationAdmin",
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles"
            ],
            "Resource": "*"
        },
        {
            "Sid": "GrafanaIAMGetRolePermission",
            "Effect": "Allow",
            "Action": "iam:GetRole",
            "Resource": "arn:aws:iam::*:role/*"
        },
        {
            "Sid": "AWSGrafanaPermissions",
            "Effect": "Allow",
            "Action": [
                "grafana:*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "GrafanaIAMPassRolePermission",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::*:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "grafana.amazonaws.com"
                }
            }
        }
    ]
}

AWS verwaltete Richtlinie: AWSGrafana WorkspacePermissionManagement (veraltet)

Diese Richtlinie ist veraltet. Diese Richtlinie sollte keinen neuen Benutzern, Gruppen oder Rollen zugewiesen werden.

Amazon Managed Grafana hat eine neue Richtlinie, AWSGrafanaWorkspacePermissionManagementV2, hinzugefügt, um diese Richtlinie zu ersetzen. Diese neue verwaltete Richtlinie verbessert die Sicherheit für Ihren Arbeitsbereich, indem sie restriktivere Berechtigungen bereitstellt.

AWS verwaltete Richtlinie: AWSGrafana WorkspacePermissionManagement V2

AWSGrafanaWorkspacePermissionManagementDie V2-Richtlinie bietet nur die Möglichkeit, Benutzer- und Gruppenberechtigungen für Amazon Managed Grafana-Arbeitsbereiche zu aktualisieren.

Sie können AWSGrafana WorkspacePermissionManagement V2 an Ihre IAM-Entitäten anhängen.

Details zu Berechtigungen

Diese Richtlinie umfasst die folgenden Berechtigungen.

{
    "Version": "2012-10-17",
    "Statement": [{
            "Sid": "AWSGrafanaPermissions",
            "Effect": "Allow",
            "Action": [
                "grafana:DescribeWorkspace",
                "grafana:DescribeWorkspaceAuthentication",
                "grafana:UpdatePermissions",
                "grafana:ListPermissions",
                "grafana:ListWorkspaces"
            ],
            "Resource": "arn:aws:grafana:*:*:/workspaces*"
        },
        {
            "Sid": "IAMIdentityCenterPermissions",
            "Effect": "Allow",
            "Action": [
                "sso:DescribeRegisteredRegions",
                "sso:GetSharedSsoConfiguration",
                "sso:ListDirectoryAssociations",
                "sso:GetManagedApplicationInstance",
                "sso:ListProfiles",
                "sso:GetProfile",
                "sso:ListProfileAssociations",
                "sso-directory:DescribeUser",
                "sso-directory:DescribeGroup"
            ],
            "Resource": "*"
        }
    ]
}

Zusätzliche Richtlinie erforderlich

Um einem Benutzer die vollständige Zuweisung von Berechtigungen zu ermöglichen, müssen Sie zusätzlich zur AWSGrafanaWorkspacePermissionManagementV2 Richtlinie auch eine Richtlinie zuweisen, um Zugriff auf die Anwendungszuweisung in IAM Identity Center zu gewähren.

Um diese Richtlinie zu erstellen, müssen Sie zuerst den ARN der Grafana-Anwendung für Ihren Workspace sammeln

Die von Ihnen erstellte Richtlinie sollte wie folgt aussehen. grafana-application-arnErsetzen Sie durch den ARN, den Sie im vorherigen Schritt gefunden haben:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sso:CreateApplicationAssignment",
                "sso:DeleteApplicationAssignment"
            ],
            "Resource": [
                "grafana-application-arn"
            ]
        }
    ]
}

Informationen zum Erstellen und Anwenden von Richtlinien für Ihre Rollen oder Benutzer finden Sie im AWS Identity and Access Management Benutzerhandbuch unter Hinzufügen und Entfernen von IAM-Identitätsberechtigungen.

AWS verwaltete Richtlinie: AWSGrafana ConsoleReadOnlyAccess

AWSGrafanaConsoleReadOnlyAccess Die Richtlinie gewährt Zugriff auf schreibgeschützte Operationen in Amazon Managed Grafana.

Sie können sie an Ihre AWSGrafana ConsoleReadOnlyAccess IAM-Entitäten anhängen.

Details zu Berechtigungen

Diese Richtlinie umfasst die folgende Berechtigung.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AWSGrafanaConsoleReadOnlyAccess",
      "Effect": "Allow",
      "Action": ["grafana:Describe*", "grafana:List*"],
      "Resource": "*"
    }
  ]
}

AWS verwaltete Richtlinie: AmazonGrafanaRedshiftAccess

Diese Richtlinie gewährt begrenzten Zugriff auf Amazon Redshift und die Abhängigkeiten, die für die Verwendung des Amazon Redshift Redshift-Plug-ins in Amazon Managed Grafana erforderlich sind. AmazonGrafanaRedshiftAccess Die Richtlinie ermöglicht es einem Benutzer oder einer IAM-Rolle, das Amazon Redshift Redshift-Datenquellen-Plugin in Grafana zu verwenden. Temporäre Anmeldeinformationen für Amazon Redshift Redshift-Datenbanken sind auf den Datenbankbenutzer beschränkt, redshift_data_api_user und Anmeldeinformationen von Secrets Manager können abgerufen werden, wenn das Geheimnis mit dem Schlüssel gekennzeichnet ist. RedshiftQueryOwner Diese Richtlinie ermöglicht den Zugriff auf Amazon Redshift Redshift-Cluster, die mit GrafanaDataSource gekennzeichnet sind. Bei der Erstellung einer vom Kunden verwalteten Richtlinie ist die tagbasierte Authentifizierung optional.

Sie können eine Verbindung AmazonGrafanaRedshiftAccess zu Ihren IAM-Entitäten herstellen. Amazon Managed Grafana verknüpft diese Richtlinie auch mit einer Servicerolle, die es Amazon Managed Grafana ermöglicht, Aktionen in Ihrem Namen durchzuführen.

Details zu Berechtigungen

Diese Richtlinie umfasst die folgende Berechtigung.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "redshift:DescribeClusters",
        "redshift-data:GetStatementResult",
        "redshift-data:DescribeStatement",
        "secretsmanager:ListSecrets"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "redshift-data:DescribeTable",
        "redshift-data:ExecuteStatement",
        "redshift-data:ListTables",
        "redshift-data:ListSchemas"
      ],
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/GrafanaDataSource": "false"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": "redshift:GetClusterCredentials",
      "Resource": [
        "arn:aws:redshift:*:*:dbname:*/*",
        "arn:aws:redshift:*:*:dbuser:*/redshift_data_api_user"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Resource": "*",
      "Condition": {
        "Null": {
          "secretsmanager:ResourceTag/RedshiftQueryOwner": "false"
        }
      }
    }
  ]
}

AWS verwaltete Richtlinie: AmazonGrafanaAthenaAccess

Diese Richtlinie gewährt Zugriff auf Athena und die Abhängigkeiten, die erforderlich sind, um das Abfragen und Schreiben von Ergebnissen in Amazon S3 über das Athena-Plug-In in Amazon Managed Grafana zu ermöglichen. AmazonGrafanaAthenaAccessDie Richtlinie ermöglicht es einem Benutzer oder einer IAM-Rolle, das Athena-Datenquellen-Plugin in Grafana zu verwenden. Athena-Arbeitsgruppen müssen mit markiert sein, GrafanaDataSource um zugänglich zu sein. Diese Richtlinie enthält Berechtigungen zum Schreiben von Abfrageergebnissen in einen Amazon S3 S3-Bucket mit einem Namen als Präfix. grafana-athena-query-results- Amazon S3 S3-Berechtigungen für den Zugriff auf die zugrunde liegende Datenquelle einer Athena-Abfrage sind in dieser Richtlinie nicht enthalten.

Sie können AWSGrafana AthenaAccess Richtlinien an Ihre IAM-Entitäten anhängen. Amazon Managed Grafana verknüpft diese Richtlinie auch mit einer Servicerolle, die es Amazon Managed Grafana ermöglicht, Aktionen in Ihrem Namen durchzuführen.

Details zu Berechtigungen

Diese Richtlinie umfasst die folgende Berechtigung.

{
	"Version": "2012-10-17",
	"Statement": [
	    {
	        "Effect": "Allow",
	        "Action": [
	            "athena:GetDatabase",
	            "athena:GetDataCatalog",
	            "athena:GetTableMetadata",
	            "athena:ListDatabases",
	            "athena:ListDataCatalogs",
	            "athena:ListTableMetadata",
	            "athena:ListWorkGroups"
	        ],
	        "Resource": [
	            "*"
	        ]
	    },
	    {
	        "Effect": "Allow",
	        "Action": [
	            "athena:GetQueryExecution",
	            "athena:GetQueryResults",
	            "athena:GetWorkGroup",
	            "athena:StartQueryExecution",
	            "athena:StopQueryExecution"
	        ],
	        "Resource": [
	            "*"
	        ],
	        "Condition": {
	            "Null": {
	                "aws:ResourceTag/GrafanaDataSource": "false"
	            }
	        }
	    },
	    {
	        "Effect": "Allow",
	        "Action": [
	            "glue:GetDatabase",
	            "glue:GetDatabases",	            
	            "glue:GetTable",
	            "glue:GetTables",
	            "glue:GetPartition",
	            "glue:GetPartitions",
	            "glue:BatchGetPartition"
	        ],
	        "Resource": [
	            "*"
	        ]
	    },
	    {
	        "Effect": "Allow",
	        "Action": [
	            "s3:GetBucketLocation",
	            "s3:GetObject",
	            "s3:ListBucket",
	            "s3:ListBucketMultipartUploads",
	            "s3:ListMultipartUploadParts",
	            "s3:AbortMultipartUpload",
	            "s3:CreateBucket",
	            "s3:PutObject",
	            "s3:PutBucketPublicAccessBlock"
	        ],
	        "Resource": [
	            "arn:aws:s3:::grafana-athena-query-results-*"
	        ]
	    }
	]
}

AWS verwaltete Richtlinie: AmazonGrafanaCloudWatchAccess

Diese Richtlinie gewährt Zugriff auf Amazon CloudWatch und die Abhängigkeiten, die für die Verwendung CloudWatch als Datenquelle in Amazon Managed Grafana erforderlich sind.

Sie können AWSGrafana CloudWatchAccess Richtlinien an Ihre IAM-Entitäten anhängen. Amazon Managed Grafana verknüpft diese Richtlinie auch mit einer Servicerolle, die es Amazon Managed Grafana ermöglicht, Aktionen in Ihrem Namen durchzuführen.

Details zu Berechtigungen

Diese Richtlinie umfasst die folgenden Berechtigungen.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudwatch:DescribeAlarmsForMetric",
        "cloudwatch:DescribeAlarmHistory",
        "cloudwatch:DescribeAlarms",
        "cloudwatch:ListMetrics",
        "cloudwatch:GetMetricStatistics",
        "cloudwatch:GetMetricData",
        "cloudwatch:GetInsightRuleReport"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "logs:DescribeLogGroups",
        "logs:GetLogGroupFields",
        "logs:StartQuery",
        "logs:StopQuery",
        "logs:GetQueryResults",
        "logs:GetLogEvents"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeTags",
        "ec2:DescribeInstances",
        "ec2:DescribeRegions"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "tag:GetResources",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "oam:ListSinks",
        "oam:ListAttachedLinks"
      ],
      "Resource": "*"
    }
  ]
}

Amazon Managed Grafana-Aktualisierungen der AWS verwalteten Richtlinien

Sehen Sie sich Details zu Aktualisierungen der AWS verwalteten Richtlinien für Amazon Managed Grafana an, seit dieser Service begonnen hat, diese Änderungen zu verfolgen. Abonnieren Sie den RSS-Feed auf der Amazon Managed Grafana-Dokumentverlaufsseite, um automatische Benachrichtigungen über Änderungen an dieser Seite zu erhalten.