Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Beispiele für identitätsbasierte Richtlinien für Amazon Managed Grafana
Standardmäßig sind Benutzer und Rollen nicht berechtigt, Amazon Managed Grafana-Ressourcen zu erstellen oder zu ändern. Sie können auch keine Aufgaben mithilfe von AWS Management Console, AWS Command Line Interface (AWS CLI) oder AWS API ausführen. Um Benutzern die Berechtigung zu erteilen, Aktionen mit den Ressourcen durchzuführen, die sie benötigen, kann ein IAM Administrator IAM Richtlinien erstellen. Der Administrator kann dann die IAM Richtlinien zu Rollen hinzufügen, und Benutzer können die Rollen übernehmen.
Informationen zum Erstellen einer IAM identitätsbasierten Richtlinie anhand dieser JSON Beispieldokumente finden Sie unter IAM Richtlinien erstellen (Konsole) im IAMBenutzerhandbuch.
Einzelheiten zu den von Amazon Managed Grafana definierten Aktionen und Ressourcentypen, einschließlich des Formats ARNs für die einzelnen Ressourcentypen, finden Sie unter Aktionen, Ressourcen und Bedingungsschlüssel für Amazon Managed Grafana in der Service Authorization Reference.
Themen
Bewährte Methoden für Richtlinien
Identitätsbasierte Richtlinien legen fest, ob jemand Amazon Managed Grafana-Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder diese löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Befolgen Sie beim Erstellen oder Bearbeiten identitätsbasierter Richtlinien die folgenden Anleitungen und Empfehlungen:
-
Beginnen Sie mit AWS verwalteten Richtlinien und wechseln Sie zu Berechtigungen mit den geringsten Rechten — Verwenden Sie die AWS verwalteten Richtlinien, die Berechtigungen für viele gängige Anwendungsfälle gewähren, um Ihren Benutzern und Workloads zunächst Berechtigungen zu gewähren. Sie sind in Ihrem verfügbar. AWS-Konto Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom AWS Kunden verwaltete Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind. Weitere Informationen finden Sie AWS im IAMBenutzerhandbuch unter AWS Verwaltete Richtlinien oder Verwaltete Richtlinien für Jobfunktionen.
-
Berechtigungen mit den geringsten Rechten anwenden — Wenn Sie Berechtigungen mit IAM Richtlinien festlegen, gewähren Sie nur die Berechtigungen, die für die Ausführung einer Aufgabe erforderlich sind. Sie tun dies, indem Sie die Aktionen definieren, die für bestimmte Ressourcen unter bestimmten Bedingungen durchgeführt werden können, auch bekannt als die geringsten Berechtigungen. Weitere Informationen zur Verwendung IAM zum Anwenden von Berechtigungen finden Sie IAMim Benutzerhandbuch unter Richtlinien und Berechtigungen. IAM
-
Verwenden Sie Bedingungen in IAM Richtlinien, um den Zugriff weiter einzuschränken — Sie können Ihren Richtlinien eine Bedingung hinzufügen, um den Zugriff auf Aktionen und Ressourcen einzuschränken. Sie können beispielsweise eine Richtlinienbedingung schreiben, um anzugeben, dass alle Anfragen mit gesendet werden müssenSSL. Sie können auch Bedingungen verwenden, um Zugriff auf Serviceaktionen zu gewähren, wenn diese über einen bestimmten Zweck verwendet werden AWS-Service, z. AWS CloudFormation B. Weitere Informationen finden Sie im IAMBenutzerhandbuch unter IAMJSONRichtlinienelemente: Bedingung.
-
Verwenden Sie IAM Access Analyzer, um Ihre IAM Richtlinien zu validieren, um sichere und funktionale Berechtigungen zu gewährleisten. IAM Access Analyzer validiert neue und bestehende Richtlinien, sodass die Richtlinien der IAM Richtliniensprache (JSON) und den IAM bewährten Methoden entsprechen. IAM Access Analyzer bietet mehr als 100 Richtlinienprüfungen und umsetzbare Empfehlungen, um Sie bei der Erstellung sicherer und funktionaler Richtlinien zu unterstützen. Weitere Informationen finden Sie im IAMBenutzerhandbuch unter Überprüfen von Richtlinien mit IAM Access Analyzer.
-
Multi-Faktor-Authentifizierung erforderlich (MFA) — Wenn Sie ein Szenario haben, in dem IAM Benutzer oder ein Root-Benutzer erforderlich sind AWS-Konto, aktivieren Sie die Option MFA für zusätzliche Sicherheit. Um festzulegen, MFA wann API Operationen aufgerufen werden, fügen Sie MFA Bedingungen zu Ihren Richtlinien hinzu. Weitere Informationen finden Sie unter Sicherer API Zugriff mit MFA im IAMBenutzerhandbuch.
Weitere Informationen zu bewährten Methoden finden Sie unter Bewährte Sicherheitsmethoden IAM im IAM Benutzerhandbuch. IAM
Verwenden der Amazon Managed Grafana-Konsole
Um auf die -Konsole zuzugreifen, müssen Sie über einen Mindestsatz von Berechtigungen verfügen. Diese Berechtigungen müssen es Ihnen ermöglichen, Details zu den Ressourcen in Ihrem AWS-Konto aufzulisten und anzuzeigen. Wenn Sie eine identitätsbasierte Richtlinie erstellen, die strenger ist als die mindestens erforderlichen Berechtigungen, funktioniert die Konsole nicht wie vorgesehen für Entitäten (Benutzer oder Rollen) mit dieser Richtlinie.
Beispielrichtlinien für Amazon Managed Grafana
Dieser Abschnitt enthält identitätsbasierte Richtlinien, die für verschiedene Amazon Managed Grafana-Szenarien nützlich sind.
Grafana-Administrator mit SAML
Wenn Sie SAML für Ihre Benutzerauthentifizierung verwenden, benötigt der Administrator, der Amazon Managed Grafana erstellt und verwaltet, die folgenden Richtlinien:
-
AWSGrafanaAccountAdministratoroder die entsprechenden Berechtigungen zum Erstellen und Verwalten von Amazon Managed Grafana-Arbeitsbereichen.
-
Die AWSMarketplaceManageSubscriptionsRichtlinie oder gleichwertige Berechtigungen, wenn Sie einen Amazon Managed Grafana-Workspace auf Grafana Enterprise aktualisieren möchten.
Grafana-Administrator in einem Verwaltungskonto mit IAM Identity Center
Um Berechtigungen zur Erstellung und Verwaltung von Amazon Managed Grafana-Workspaces in einer gesamten Organisation zu gewähren und Abhängigkeiten wie IAM Identity Center zu aktivieren, weisen Sie die AWSGrafanaAccountAdministratorAWSSSOMasterAccountAdministratorund die AWSSSODirectoryAdministratorRichtlinien einem Benutzer zu. Um einen Amazon Managed Grafana-Workspace auf Grafana Enterprise zu aktualisieren, muss ein Benutzer außerdem über die AWSMarketplaceManageSubscriptionsIAMRichtlinie oder die entsprechenden Berechtigungen verfügen.
Wenn Sie beim Erstellen eines Amazon Managed Grafana-Workspace service-verwaltete Berechtigungen verwenden möchten, muss der Benutzer, der den Workspace erstellt, auch über die Berechtigungen iam:CreateRoleiam:CreatePolicy, und iam:AttachRolePolicy verfügen. Diese sind erforderlich, AWS CloudFormation StackSets um Richtlinien bereitzustellen, die es Ihnen ermöglichen, Datenquellen in den Konten der Organisation zu lesen.
Wichtig
Wenn Sie einem Benutzer die Berechtigungen iam:CreateRole, iam:CreatePolicy und iam:AttachRolePolicy gewähren, erhält dieser Benutzer vollen Administratorzugriff auf Ihr AWS
-Konto. Beispielsweise kann ein Benutzer mit diesen Berechtigungen eine Richtlinie erstellen, die über vollständige Berechtigungen für alle Ressourcen verfügt, und diese Richtlinie an eine beliebige Rolle anhängen. Seien Sie sehr vorsichtig, wem Sie diese Berechtigungen erteilen.
Informationen zu den gewährten Berechtigungen finden Sie unter AWSGrafanaAccountAdministratorAWS verwaltete Richtlinie: AWSGrafanaAccountAdministrator
Grafana-Administrator in einem Mitgliedskonto mit IAM Identity Center
Um Berechtigungen zum Erstellen und Verwalten von Amazon Managed Grafana-Workspaces im Mitgliedskonto einer Organisation zu erteilen, weisen Sie die AWSGrafanaAccountAdministratorRichtlinien AWSSSOMemberAccountAdministratorund die AWSSSODirectoryAdministratorRichtlinien einem Benutzer zu. Um einen Amazon Managed Grafana-Workspace auf Grafana Enterprise zu aktualisieren, muss ein Benutzer außerdem über die AWSMarketplaceManageSubscriptionsIAMRichtlinie oder die entsprechenden Berechtigungen verfügen.
Wenn Sie beim Erstellen eines Amazon Managed Grafana-Workspace service-verwaltete Berechtigungen verwenden möchten, muss der Benutzer, der den Workspace erstellt, auch über die Berechtigungen iam:CreateRoleiam:CreatePolicy, und iam:AttachRolePolicy verfügen. Diese sind erforderlich, damit der Benutzer Datenquellen im Konto lesen kann.
Wichtig
Wenn Sie einem Benutzer die Berechtigungen iam:CreateRole, iam:CreatePolicy und iam:AttachRolePolicy gewähren, erhält dieser Benutzer vollen Administratorzugriff auf Ihr AWS
-Konto. Beispielsweise kann ein Benutzer mit diesen Berechtigungen eine Richtlinie erstellen, die über vollständige Berechtigungen für alle Ressourcen verfügt, und diese Richtlinie an eine beliebige Rolle anhängen. Seien Sie sehr vorsichtig, wem Sie diese Berechtigungen erteilen.
Informationen zu den gewährten Berechtigungen finden Sie unter AWSGrafanaAccountAdministratorAWS verwaltete Richtlinie: AWSGrafanaAccountAdministrator
Erstellen und verwalten Sie Amazon Managed Grafana-Arbeitsbereiche und Benutzer in einem einzigen eigenständigen Konto mithilfe von Identity Center IAM
Ein eigenständiges AWS Konto ist ein Konto, das noch kein Mitglied einer Organisation ist. Weitere Informationen zu Organisationen finden Sie unter Was ist AWS Organizations?
Um Berechtigungen zum Erstellen und Verwalten von Amazon Managed Grafana-Arbeitsbereichen und Benutzern in einem eigenständigen Konto zu erteilen, weisen Sie die AWSSSODirectoryAdministratorRichtlinien AWSGrafanaAccountAdministratorAWSSSOMasterAccountAdministrator, AWSOrganizationsFullAccessund einem Benutzer zu. Um einen Amazon Managed Grafana-Workspace auf Grafana Enterprise zu aktualisieren, muss ein Benutzer außerdem über die AWSMarketplaceManageSubscriptionsIAMRichtlinie oder die entsprechenden Berechtigungen verfügen.
Wichtig
Wenn Sie einem Benutzer die Berechtigungen iam:CreateRole, iam:CreatePolicy und iam:AttachRolePolicy gewähren, erhält dieser Benutzer vollen Administratorzugriff auf Ihr AWS
-Konto. Beispielsweise kann ein Benutzer mit diesen Berechtigungen eine Richtlinie erstellen, die über vollständige Berechtigungen für alle Ressourcen verfügt, und diese Richtlinie an eine beliebige Rolle anhängen. Seien Sie sehr vorsichtig, wem Sie diese Berechtigungen erteilen.
Informationen zu den gewährten Berechtigungen finden Sie AWSGrafanaAccountAdministratorunter AWS verwaltete Richtlinie: AWSGrafanaAccountAdministrator
Benutzerzugriff auf Amazon Managed Grafana zuweisen und die Zuweisung aufheben
Um anderen Benutzern Berechtigungen zur Verwaltung des Zugriffs auf Amazon Managed Grafana-Workspaces im Konto zu gewähren, einschließlich der Gewährung von Grafana-Administratorberechtigungen für diese Workspaces, weisen Sie die AWSGrafanaWorkspacePermissionManagementV2Richtlinie diesem Benutzer zu. Wenn Sie IAM Identity Center verwenden, um Benutzer in diesem Workspace zu verwalten, benötigt der Benutzer auch die Richtlinien und. AWSSSOReadOnlyAWSSSODirectoryReadOnly
Informationen zu den gewährten Berechtigungen finden Sie unter AWSGrafanaWorkspacePermissionManagementV2AWS verwaltete Richtlinie: AWSGrafanaWorkspacePermissionManagementV2
Amazon Managed Grafana-Leseberechtigungen
Um Berechtigungen für Leseaktionen wie das Auflisten und Anzeigen von Arbeitsbereichen und das Öffnen der Grafana-Workspace-Konsole zu erteilen, weisen Sie die AWSGrafanaConsoleReadOnlyAccessAWSSSODirectoryReadOnlyRichtlinien AWSSSOReadOnlyund einem Benutzer oder IAM einer Rolle zu.
Informationen zu den erteilten Berechtigungen finden Sie AWSGrafanaConsoleReadOnlyAccessunter. AWS verwaltete Richtlinie: AWSGrafanaConsoleReadOnlyAccess
