在 Amazon Managed Grafana 工作区中使用 AWS IAM Identity Center - Amazon Managed Grafana
使用 IAM Identity Center 的场景所需的权限

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

在 Amazon Managed Grafana 工作区中使用 AWS IAM Identity Center

Amazon Managed Grafana 与 AWS IAM Identity Center 集成，为您的员工提供身份联合验证。使用 Amazon Managed Grafana 和 IAM Identity Center，用户将被重定向到其现有的公司目录，以使用现有凭证登录。然后，他们会无缝登录到其 Amazon Managed Grafana 工作区。这可确保密码策略和双因素身份验证等安全设置得到强制实施。使用 IAM Identity Center 不会影响现有的 IAM 配置。

如果您没有现有的用户目录，或不想使用联合身份验证，IAM Identity Center 会提供一个集成的用户目录，您可以用它为 Amazon Managed Grafana 创建用户和组。Amazon Managed Grafana 不支持使用 IAM 用户和角色在 Amazon Managed Grafana 工作区内分配权限。

有关 IAM Identity Center 的更多信息，请参阅什么是 AWS IAM Identity Center 有关开始使用 IAM Identity Center 的更多信息，请参阅入门。

要使用 IAM Identity Center，您还必须为账户激活 AWS Organizations。如果需要，Amazon Managed Grafana 可以在您创建第一个配置为使用 IAM Identity Center 的工作区时，为您激活 Organizations。

使用 IAM Identity Center 的场景所需的权限

本节介绍将 Amazon Managed Grafana 和 IAM Identity Center 一起使用时，所需的策略。管理 Amazon Managed Grafana 所需的策略根据您的 AWS 账户是否属于某个组织而有所不同。

在 AWS Organizations 账户中创建 Grafana 管理员

要授予在组织中创建和管理 Amazon Managed Grafana 工作区的权限，并允许 AWS IAM Identity Center 等依赖项，请为角色分配以下策略。

  • 分配 AWSGrafanaAccountAdministrator IAM 策略，以允许管理 Amazon Managed Grafana 工作区。

  • AWSSSODirectoryAdministrator 允许角色在设置 Amazon Managed Grafana 工作区时使用 IAM Identity Center。

  • 要允许在整个组织中创建和管理 Amazon Managed Grafana 工作区，请为该角色提供 AWSSSOMasterAccountAdministrator IAM 策略。或者，赋予该角色 AWSSSOMemberAccountAdministrator IAM 策略，以允许在组织的单个成员账户内创建和管理工作区。

  • 如果要允许角色将 Amazon Managed Grafana 工作区升级至 Grafana Enterprise，还可以选择向角色赋予 AWSMarketplaceManageSubscriptions IAM 策略（或同等权限）。

如果要在创建 Amazon Managed Grafana 工作区时使用服务托管权限，则创建工作区的角色还必须拥有 iam:CreateRole、iam:CreatePolicy 和 iam:AttachRolePolicy 权限。使用 AWS CloudFormation StackSets 部署允许您读取组织账户中数据来源的策略时，需要这些权限。

重要

通过向用户授予 iam:CreateRole、iam:CreatePolicy 和 iam:AttachRolePolicy 权限，用户将获得对 AWS 账户的完全管理访问权限。例如，具有这些权限的用户可以创建一个对所有资源具有完全权限的策略，并将该策略附加到任何角色。请谨慎地为相关人员授予这些权限。

要查看授予 AWSGrafanaAccountAdministrator 的权限，请参阅 AWS 托管策略：AWSGrafanaAccountAdministrator

在单个独立账户中创建和管理 Amazon Managed Grafana 工作区和用户

独立 AWS 账户是指不是组织成员的账户。有关 AWS Organizations 的更多信息，请参阅什么是 AWS Organizations？

要授予在独立账户中创建和管理 Amazon Managed Grafana 工作区和用户的权限，请将以下 IAM 策略分配给角色：

  • AWSGrafanaAccountAdministrator

  • AWSSSOMasterAccountAdministrator

  • AWSOrganizationsFullAccess

  • AWSSSODirectoryAdministrator

重要

向角色授予 AWSOrganizationsFullAccess 策略后，该角色就拥有了对 AWS 账户的完全管理访问权限。请谨慎地为相关人员授予这些权限。

要查看授予 AWSGrafanaAccountAdministrator 的权限，请参阅 AWS 托管策略：AWSGrafanaAccountAdministrator