As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Políticas gerenciadas pela AWS para o Amazon Managed Grafana

Uma política gerenciada pela AWS é uma política independente criada e administrada pela AWS. As políticas gerenciadas pela AWS são criadas para fornecer permissões a vários casos de uso comuns a fim de que você possa começar a atribuir permissões a usuários, grupos e perfis.

Lembre-se de que as políticas gerenciadas pela AWS podem não conceder permissões de privilégio mínimo para seus casos de uso específicos, por estarem disponíveis para uso por todos os clientes da AWS. Recomendamos que você reduza ainda mais as permissões definindo políticas gerenciadas pelo cliente da  específicas para seus casos de uso.

Você não pode alterar as permissões definidas em políticas gerenciadas AWS. Se AWS atualiza as permissões definidas em um política gerenciada por AWS, a atualização afeta todas as identidades de entidades principais (usuários, grupos e perfis) às quais a política estiver vinculada. É provável que AWS atualize uma política gerenciada por AWS quando um novo AWS service (Serviço da AWS) for lançado, ou novas operações de API forem disponibilizadas para os serviços existentes.

Para obter mais informações, consulte Políticas gerenciadas pela AWS no Guia do usuário do IAM.

Política gerenciada pela AWS: AWSGrafanaAccountAdministrator

A política AWSGrafanaAccountAdministrator fornece acesso no Amazon Managed Grafana para criar e gerenciar contas e espaços de trabalho para toda a organização.

Você pode anexar AWSGrafanaAccountAdministrator às suas entidades do IAM.

Detalhes das permissões

Esta política inclui as seguintes permissões:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSGrafanaOrganizationAdmin",
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles"
            ],
            "Resource": "*"
        },
        {
            "Sid": "GrafanaIAMGetRolePermission",
            "Effect": "Allow",
            "Action": "iam:GetRole",
            "Resource": "arn:aws:iam::*:role/*"
        },
        {
            "Sid": "AWSGrafanaPermissions",
            "Effect": "Allow",
            "Action": [
                "grafana:*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "GrafanaIAMPassRolePermission",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::*:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "grafana.amazonaws.com"
                }
            }
        }
    ]
}

Política gerenciada pela AWS: AWSGrafanaWorkspacePermissionManagement (obsoleta)

Esta política está obsoleta. Esta política não deve ser vinculada a novos usuários, grupos ou perfis.

O Amazon Managed Grafana adicionou uma nova política, AWSGrafanaWorkspacePermissionManagementV2, para substituir essa política. Essa nova política gerenciada melhora a segurança do espaço de trabalho ao fornecer um conjunto mais restritivo de permissões.

Política gerenciada pela AWS: AWSGrafanaWorkspacePermissionManagementV2

A política AWSGrafanaWorkspacePermissionManagementV2 fornece apenas a capacidade de atualizar as permissões de usuários e grupos para os espaços de trabalho do Amazon Managed Grafana.

Você pode anexar AWSGrafanaWorkspacePermissionManagementV2 às suas entidades do IAM.

Detalhes das permissões

Esta política inclui as seguintes permissões:

{
    "Version": "2012-10-17",
    "Statement": [{
            "Sid": "AWSGrafanaPermissions",
            "Effect": "Allow",
            "Action": [
                "grafana:DescribeWorkspace",
                "grafana:DescribeWorkspaceAuthentication",
                "grafana:UpdatePermissions",
                "grafana:ListPermissions",
                "grafana:ListWorkspaces"
            ],
            "Resource": "arn:aws:grafana:*:*:/workspaces*"
        },
        {
            "Sid": "IAMIdentityCenterPermissions",
            "Effect": "Allow",
            "Action": [
                "sso:DescribeRegisteredRegions",
                "sso:GetSharedSsoConfiguration",
                "sso:ListDirectoryAssociations",
                "sso:GetManagedApplicationInstance",
                "sso:ListProfiles",
                "sso:GetProfile",
                "sso:ListProfileAssociations",
                "sso-directory:DescribeUser",
                "sso-directory:DescribeGroup"
            ],
            "Resource": "*"
        }
    ]
}

Política adicional necessária

Para permitir integralmente que um usuário atribua permissões, além da política AWSGrafanaWorkspacePermissionManagementV2, você também deve atribuir uma política para fornecer acesso à atribuição de aplicações no Centro de Identidade do IAM.

Para criar essa política, você deve primeiro coletar o ARN da aplicação do Grafana para o espaço de trabalho

A política que você criar deve ser semelhante ao exemplo a seguir. Substitua grafana-application-arn pelo ARN que você encontrou na etapa anterior:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sso:CreateApplicationAssignment",
                "sso:DeleteApplicationAssignment"
            ],
            "Resource": [
                "grafana-application-arn"
            ]
        }
    ]
}

Para obter informações sobre como criar e aplicar políticas aos perfis, consulte Adicionar e remover permissões de identidade do IAM no Guia do usuário do AWS Identity and Access Management.

Política gerenciada pela AWS: AWSGrafanaConsoleReadOnlyAccess

A política AWSGrafanaConsoleReadOnlyAccess concede acesso a operações somente leitura no Amazon Managed Grafana.

Você pode anexar AWSGrafanaConsoleReadOnlyAccess às suas entidades do IAM.

Detalhes da permissão

Esta política inclui a seguinte permissão.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AWSGrafanaConsoleReadOnlyAccess",
      "Effect": "Allow",
      "Action": ["grafana:Describe*", "grafana:List*"],
      "Resource": "*"
    }
  ]
}

Política gerenciada pela AWS: AmazonGrafanaRedshiftAccess

Esta política concede acesso com escopo ao Amazon Redshift e às dependências necessárias para usar o plug-in do Amazon Redshift no Amazon Managed Grafana. A política AmazonGrafanaRedshiftAccess permite que um usuário ou um perfil do IAM use o plug-in da fonte de dados Amazon Redshift no Grafana. As credenciais temporárias dos bancos de dados do Amazon Redshift têm como escopo o usuário redshift_data_api_user do banco de dados, e as credenciais do Secrets Manager poderão ser recuperadas se o segredo estiver marcado com a chave RedshiftQueryOwner. Esta política permite o acesso aos clusters do Amazon Redshift marcados com GrafanaDataSource. Ao criar uma política gerenciada pelo cliente, a autenticação baseada em tags é opcional.

Você pode anexar AmazonGrafanaRedshiftAccess às suas entidades do IAM. O Amazon Managed Grafana também anexa esta política a um perfil de serviço que permite que o Amazon Managed Grafana execute ações em seu nome.

Detalhes da permissão

Esta política inclui a seguinte permissão.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "redshift:DescribeClusters",
        "redshift-data:GetStatementResult",
        "redshift-data:DescribeStatement",
        "secretsmanager:ListSecrets"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "redshift-data:DescribeTable",
        "redshift-data:ExecuteStatement",
        "redshift-data:ListTables",
        "redshift-data:ListSchemas"
      ],
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/GrafanaDataSource": "false"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": "redshift:GetClusterCredentials",
      "Resource": [
        "arn:aws:redshift:*:*:dbname:*/*",
        "arn:aws:redshift:*:*:dbuser:*/redshift_data_api_user"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Resource": "*",
      "Condition": {
        "Null": {
          "secretsmanager:ResourceTag/RedshiftQueryOwner": "false"
        }
      }
    }
  ]
}

Política gerenciada pela AWS: AmazonGrafanaAthenaAccess

Esta política concede acesso ao Athena e às dependências necessárias para permitir a consulta e a gravação de resultados no Amazon S3 do plug-in do Athena no Amazon Managed Grafana. A política AmazonGrafanaAthenaAccess permite que um usuário ou um perfil do IAM use o plug-in da fonte de dados Athena no Grafana. Os grupos de trabalho do Athena devem estar marcados com GrafanaDataSource para serem acessíveis. Esta política contém permissões para gravar resultados de consultas em um bucket do Amazon S3 com um nome prefixado com grafana-athena-query-results-. As permissões do Amazon S3 para acessar a fonte de dados subjacente de uma consulta do Athena não estão incluídas nesta política.

Você pode anexar a política AWSGrafanaAthenaAccess às entidades do IAM. O Amazon Managed Grafana também anexa esta política a um perfil de serviço que permite que o Amazon Managed Grafana execute ações em seu nome.

Detalhes da permissão

Esta política inclui a seguinte permissão.

{
	"Version": "2012-10-17",
	"Statement": [
	    {
	        "Effect": "Allow",
	        "Action": [
	            "athena:GetDatabase",
	            "athena:GetDataCatalog",
	            "athena:GetTableMetadata",
	            "athena:ListDatabases",
	            "athena:ListDataCatalogs",
	            "athena:ListTableMetadata",
	            "athena:ListWorkGroups"
	        ],
	        "Resource": [
	            "*"
	        ]
	    },
	    {
	        "Effect": "Allow",
	        "Action": [
	            "athena:GetQueryExecution",
	            "athena:GetQueryResults",
	            "athena:GetWorkGroup",
	            "athena:StartQueryExecution",
	            "athena:StopQueryExecution"
	        ],
	        "Resource": [
	            "*"
	        ],
	        "Condition": {
	            "Null": {
	                "aws:ResourceTag/GrafanaDataSource": "false"
	            }
	        }
	    },
	    {
	        "Effect": "Allow",
	        "Action": [
	            "glue:GetDatabase",
	            "glue:GetDatabases",	            
	            "glue:GetTable",
	            "glue:GetTables",
	            "glue:GetPartition",
	            "glue:GetPartitions",
	            "glue:BatchGetPartition"
	        ],
	        "Resource": [
	            "*"
	        ]
	    },
	    {
	        "Effect": "Allow",
	        "Action": [
	            "s3:GetBucketLocation",
	            "s3:GetObject",
	            "s3:ListBucket",
	            "s3:ListBucketMultipartUploads",
	            "s3:ListMultipartUploadParts",
	            "s3:AbortMultipartUpload",
	            "s3:CreateBucket",
	            "s3:PutObject",
	            "s3:PutBucketPublicAccessBlock"
	        ],
	        "Resource": [
	            "arn:aws:s3:::grafana-athena-query-results-*"
	        ]
	    }
	]
}

Política gerenciada pela AWS: AmazonGrafanaCloudWatchAccess

Esta política concede acesso ao Amazon CloudWatch e às dependências necessárias para usar o CloudWatch como fonte de dados no Amazon Managed Grafana.

Você pode anexar a política AWSGrafanaCloudWatchAccess às entidades do IAM. O Amazon Managed Grafana também anexa esta política a um perfil de serviço que permite que o Amazon Managed Grafana execute ações em seu nome.

Detalhes das permissões

Esta política inclui as seguintes permissões:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudwatch:DescribeAlarmsForMetric",
        "cloudwatch:DescribeAlarmHistory",
        "cloudwatch:DescribeAlarms",
        "cloudwatch:ListMetrics",
        "cloudwatch:GetMetricStatistics",
        "cloudwatch:GetMetricData",
        "cloudwatch:GetInsightRuleReport"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "logs:DescribeLogGroups",
        "logs:GetLogGroupFields",
        "logs:StartQuery",
        "logs:StopQuery",
        "logs:GetQueryResults",
        "logs:GetLogEvents"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeTags",
        "ec2:DescribeInstances",
        "ec2:DescribeRegions"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "tag:GetResources",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "oam:ListSinks",
        "oam:ListAttachedLinks"
      ],
      "Resource": "*"
    }
  ]
}

Atualizações do Amazon Managed Grafana para políticas gerenciadas pela AWS

Visualize os detalhes sobre atualizações em políticas gerenciadas pela AWS do Amazon Managed Grafana desde que esse serviço começou a monitorá-las. Para alertas automáticos sobre mudanças nesta página, assine o RSS feed na página de histórico de documentos do Amazon Managed Grafana.