ポリシーのベストプラクティスコンソールを使用する Amazon Managed Grafana のサンプルポリシー

Amazon Managed Grafana のアイデンティティベースのポリシー例

デフォルトでは、ユーザーおよびロールには Amazon Managed Grafana リソースを作成または変更するアクセス許可がありません。また、、 AWS Command Line Interface （AWS CLI） AWS Management Console、またはを使用してタスクを実行することはできません AWS API。IAM管理者は、リソースで必要なアクションを実行するためのアクセス許可をユーザーに付与する IAMポリシーを作成できます。その後、管理者はロールに IAMポリシーを追加し、ユーザーはロールを引き受けることができます。

これらのJSONポリシードキュメント例を使用してIAMアイデンティティベースのポリシーを作成する方法については、「 IAMユーザーガイド」のIAM「ポリシーの作成 (コンソール）」を参照してください。

ARNs 各リソースタイプのの形式など、Amazon Managed Grafana で定義されるアクションとリソースタイプの詳細については、「サービス認可リファレンス」の「Amazon Managed Grafana のアクション、リソース、および条件キー」を参照してください。

ポリシーのベストプラクティス

ID ベースのポリシーは、ユーザーのアカウント内で誰かが Amazon Managed Grafana リソースを作成、アクセス、または削除できるどうかを決定します。これらのアクションを実行すると、 AWS アカウントに料金が発生する可能性があります。アイデンティティベースポリシーを作成したり編集したりする際には、以下のガイドラインと推奨事項に従ってください:

AWS 管理ポリシーを開始し、最小特権のアクセス許可に移行する – ユーザーとワークロードにアクセス許可を付与するには、多くの一般的なユースケースにアクセス許可を付与するAWS 管理ポリシーを使用します。これらはで使用できます AWS アカウント。ユースケースに固有の AWS カスタマー管理ポリシーを定義することで、アクセス許可をさらに減らすことをお勧めします。詳細については、「IAMユーザーガイド」の「AWS マネージドポリシー」または「AWS ジョブ機能の管理ポリシー」を参照してください。
最小特権を適用する – IAM ポリシーでアクセス許可を設定する場合は、タスクの実行に必要なアクセス許可のみを付与します。これを行うには、特定の条件下で特定のリソースに対して実行できるアクションを定義します。これは、最小特権アクセス許可とも呼ばれています。IAM を使用してアクセス許可を適用する方法の詳細については、IAM ユーザーガイドの「IAM のポリシーとアクセス許可」を参照してください。
IAMポリシーで条件を使用してアクセスをさらに制限する – ポリシーに条件を追加して、アクションやリソースへのアクセスを制限できます。たとえば、ポリシー条件を記述して、すべてのリクエストをを使用して送信するように指定できますSSL。条件を使用して、サービスアクションがなどの特定のを通じて使用される場合に AWS のサービス、サービスアクションへのアクセスを許可することもできます AWS CloudFormation。詳細については、「 IAMユーザーガイド」のIAMJSON「ポリシー要素: 条件」を参照してください。
IAM Access Analyzer を使用してIAMポリシーを検証し、安全で機能的なアクセス許可を確保する – IAM Access Analyzer は、ポリシーがポリシー言語 (JSON) とIAMベストプラクティスに準拠するように、新規および既存のIAMポリシーを検証します。 IAMAccess Analyzer は、安全で機能的なポリシーの作成に役立つ 100 を超えるポリシーチェックと実用的な推奨事項を提供します。詳細については、「 IAMユーザーガイド」のIAM「Access Analyzer によるポリシーの検証」を参照してください。
多要素認証を要求する (MFA） – でIAMユーザーまたはルートユーザーを必要とするシナリオがある場合は AWS アカウント、セキュリティを強化MFAするためにをオンにします。API オペレーションが呼び出されるMFAタイミングを要求するには、ポリシーにMFA条件を追加します。詳細については、「 IAMユーザーガイド」の「を使用した安全なAPIアクセスMFA」を参照してください。

IAM でのベストプラクティスの詳細については、「IAMユーザーガイド」の「IAM でのセキュリティのベストプラクティス」を参照してください。

Amazon Managed Grafana コンソールの使用

コンソールにアクセスするには、一連の最小限のアクセス許可が必要です。これらのアクセス許可により、 AWS アカウントのリソースの詳細をリストおよび表示できます。最小限の必要なアクセス許可よりも制限が厳しいアイデンティティベースのポリシーを作成すると、そのポリシーを持つエンティティ (ユーザーまたはロール) に対してコンソールが意図したとおりに機能しなくなります。

Amazon Managed Grafana のサンプルポリシー

このセクションでは、Amazon Managed Grafana のいくつかのシナリオに役立つ、ID ベースのポリシーについて説明します。

を使用する Grafana 管理者 SAML

ユーザー認証SAMLにを使用する場合、Amazon Managed Grafana を作成および管理する管理者には、次のポリシーが必要です。

AWSGrafanaAccountAdministrator または Amazon Managed Grafana ワークスペースを作成および管理するための同等のアクセス許可。
Amazon Managed Grafana ワークスペースを Grafana Enterprise にアップグレードする場合は、AWSMarketplaceManageSubscriptionsポリシーまたは同等のアクセス許可。

IAM Identity Center を使用した管理アカウントの Grafana 管理者

組織全体で Amazon Managed Grafana ワークスペースを作成および管理するためのアクセス許可を付与し、IAMIdentity Center などの依存関係を有効にするには、 AWSGrafanaAccountAdministratorAWSSSOMasterAccountAdministratorと AWSSSODirectoryAdministratorポリシーをユーザーに割り当てます。さらに、Amazon Managed Grafana ワークスペースを Grafana Enterprise にアップグレードするには、ユーザーに AWSMarketplaceManageSubscriptionsIAMポリシーまたは同等のアクセス許可が必要です。

Amazon Managed Grafana ワークスペースの作成時にサービス管理のアクセス許可を使用する場合、ワークスペースを作成するユーザーに iam:CreateRole、iam:CreatePolicy、および iam:AttachRolePolicy 権限も必要です。これらは、 AWS CloudFormation StackSets を使用して、組織のアカウントのデータソースを読み取ることができるポリシーをデプロイするために必要です。

重要

ユーザーに、iam:CreateRole、iam:CreatePolicy、および iam:AttachRolePolicy アクセス許可を付与すると、そのユーザーには、 AWS アカウントへの完全な管理アクセス許可が与えられます。たとえば、これらのアクセス許可を持つユーザーは、すべてのリソースに対する完全なアクセス許可を持つポリシーを作成し、そのポリシーを任意のロールにアタッチできます。これらのアクセス許可を付与するユーザーには十分注意してください。

に付与されたアクセス許可を確認するにはAWSGrafanaAccountAdministrator、「」を参照してください。 AWS マネージドポリシー: AWSGrafanaAccountAdministrator

IAM Identity Center を使用するメンバーアカウントの Grafana 管理者

組織のメンバーアカウントで Amazon Managed Grafana ワークスペースを作成および管理するためのアクセス許可を付与するには、 AWSGrafanaAccountAdministratorAWSSSOMemberAccountAdministratorと AWSSSODirectoryAdministratorポリシーをユーザーに割り当てます。さらに、Amazon Managed Grafana ワークスペースを Grafana Enterprise にアップグレードするには、ユーザーに AWSMarketplaceManageSubscriptionsIAMポリシーまたは同等のアクセス許可が必要です。

Amazon Managed Grafana ワークスペースの作成時にサービス管理のアクセス許可を使用する場合、ワークスペースを作成するユーザーに iam:CreateRole、iam:CreatePolicy、および iam:AttachRolePolicy 権限も必要です。これらはユーザーがアカウント内のデータソースを読み取るために必要です。

重要

に付与されたアクセス許可を確認するにはAWSGrafanaAccountAdministrator、「」を参照してください。 AWS マネージドポリシー: AWSGrafanaAccountAdministrator

IAM Identity Center を使用して、単一のスタンドアロンアカウントで Amazon Managed Grafana ワークスペースとユーザーを作成および管理します。

スタンドアロン AWS アカウントは、まだ組織のメンバーではないアカウントです。Organizations の詳細については、「AWS Organizationsとは」を参照してください。

スタンドアロンアカウントで Amazon Managed Grafana ワークスペースとユーザーを作成および管理するためのアクセス許可を付与するには、AWSGrafanaAccountAdministrator、AWSSSOMasterAccountAdministrator、AWSOrganizationsFullAccessおよび AWSSSODirectoryAdministratorポリシーをユーザーに割り当てます。さらに、Amazon Managed Grafana ワークスペースを Grafana Enterprise にアップグレードするには、ユーザーに AWSMarketplaceManageSubscriptionsIAMポリシーまたは同等のアクセス許可が必要です。

重要

に付与されたアクセス許可を確認するにはAWSGrafanaAccountAdministrator、「」を参照してください。 AWS マネージドポリシー: AWSGrafanaAccountAdministrator

Amazon Managed Grafana に対するアクセス許可のユーザーへの割り当ておよび割り当て解除

アカウントの Amazon Managed Grafana ワークスペースへの他のユーザーのアクセスを管理するアクセス許可を付与するには、ワークスペースのそれらのユーザーに Grafana 管理者アクセス許可を付与するなど、そのユーザーにAWSGrafanaWorkspacePermissionManagementV2ポリシーを割り当てます。IAM Identity Center を使用してこのワークスペースのユーザーを管理する場合、ユーザーには AWSSSOReadOnly および AWSSSODirectoryReadOnlyポリシーも必要です。

に付与されたアクセス許可を確認するにはAWSGrafanaWorkspacePermissionManagementV2、「」を参照してください。 AWS マネージドポリシー: AWSGrafanaWorkspacePermissionManagementV2

Amazon Managed Grafana の読み取り専用アクセス許可

ワークスペースの一覧表示と表示、Grafana ワークスペースコンソールのオープンなどの読み取りアクションのアクセス許可を付与するには、、AWSGrafanaConsoleReadOnlyAccess、AWSSSOReadOnlyおよび AWSSSODirectoryReadOnlyポリシーをユーザーまたはIAMロールに割り当てます。

に付与されたアクセス許可を確認するにはAWSGrafanaConsoleReadOnlyAccess、「」を参照してくださいAWS マネージドポリシー: AWSGrafanaConsoleReadOnlyAccess 。

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

Amazon Managed Grafana との連携方法 IAM

AWS マネージドポリシー