本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon Managed Grafana 的 AWS 托管策略

AWS 托管式策略是由 AWS 创建和管理的独立策略。AWS 托管式策略旨在为许多常见用例提供权限，以便您可以开始为用户、组和角色分配权限。

请记住，AWS 托管式策略可能不会为您的特定使用场景授予最低权限，因为它们可供所有 AWS 客户使用。我们建议通过定义特定于您的使用场景的客户托管式策略来进一步减少权限。

您无法更改 AWS 托管式策略中定义的权限。如果 AWS 更新在 AWS 托管式策略中定义的权限，则更新会影响该策略所附加到的所有主体身份（用户、组和角色）。当新的 AWS 服务 启动或新的 API 操作可用于现有服务时，AWS 最有可能更新 AWS 托管式策略。

有关更多信息，请参阅《IAM 用户指南》中的 AWS 托管式策略。

AWS 托管策略：AWSGrafanaAccountAdministrator

AWSGrafanaAccountAdministrator 策略提供在 Amazon Managed Grafana 中为整个组织创建和管理账户和工作区的访问权限。

您可以将 AWSGrafanaAccountAdministrator 附加到 IAM 实体。

权限详细信息

该策略包含以下权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSGrafanaOrganizationAdmin",
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles"
            ],
            "Resource": "*"
        },
        {
            "Sid": "GrafanaIAMGetRolePermission",
            "Effect": "Allow",
            "Action": "iam:GetRole",
            "Resource": "arn:aws:iam::*:role/*"
        },
        {
            "Sid": "AWSGrafanaPermissions",
            "Effect": "Allow",
            "Action": [
                "grafana:*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "GrafanaIAMPassRolePermission",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::*:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "grafana.amazonaws.com"
                }
            }
        }
    ]
}

AWS 托管策略：AWSGrafanaWorkspacePermissionManagement（已过时）

该策略已过时。不应将此策略附加到任何新用户、组或角色。

Amazon Managed Grafana 增加了一项新策略 AWSGrafanaWorkspacePermissionManagementV2 来取代该策略。这项新托管策略通过提供一组限制性更强的权限来提高工作区的安全性。

AWS 托管策略：AWSGrafanaWorkspacePermissionManagementV2

AWSGrafanaWorkspacePermissionManagementV2 策略仅提供更新 Amazon Managed Grafana 工作区的用户和组权限的功能。

您可以将 AWSGrafanaWorkspacePermissionManagementV2 附加到 IAM 实体。

权限详细信息

该策略包含以下权限。

{
    "Version": "2012-10-17",
    "Statement": [{
            "Sid": "AWSGrafanaPermissions",
            "Effect": "Allow",
            "Action": [
                "grafana:DescribeWorkspace",
                "grafana:DescribeWorkspaceAuthentication",
                "grafana:UpdatePermissions",
                "grafana:ListPermissions",
                "grafana:ListWorkspaces"
            ],
            "Resource": "arn:aws:grafana:*:*:/workspaces*"
        },
        {
            "Sid": "IAMIdentityCenterPermissions",
            "Effect": "Allow",
            "Action": [
                "sso:DescribeRegisteredRegions",
                "sso:GetSharedSsoConfiguration",
                "sso:ListDirectoryAssociations",
                "sso:GetManagedApplicationInstance",
                "sso:ListProfiles",
                "sso:GetProfile",
                "sso:ListProfileAssociations",
                "sso-directory:DescribeUser",
                "sso-directory:DescribeGroup"
            ],
            "Resource": "*"
        }
    ]
}

需要的其他策略

要完全允许用户分配权限，除了 AWSGrafanaWorkspacePermissionManagementV2 策略外，您还必须分配策略以提供对 IAM Identity Center 中应用程序分配的访问权限。

要创建此策略，您必须先收集工作区的 Grafana 应用程序 ARN

您创建的策略应类似于以下内容。将 grafana-armplication-arn 替换为您在上一步中找到的 ARN：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sso:CreateApplicationAssignment",
                "sso:DeleteApplicationAssignment"
            ],
            "Resource": [
                "grafana-application-arn"
            ]
        }
    ]
}

有关如何创建策略并向角色或用户应用策略的更多信息，请参阅《AWS Identity and Access Management 用户指南》中的添加和删除 IAM 身份权限。

AWS 托管策略：AWSGrafanaConsoleReadOnlyAccess

AWSGrafanaConsoleReadOnlyAccess 策略授予对 Amazon Managed Grafana 中只读操作的访问权限。

您不能将 AWSGrafanaConsoleReadOnlyAccess 附加到 IAM 实体。

权限详细信息

此策略包含以下权限。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AWSGrafanaConsoleReadOnlyAccess",
      "Effect": "Allow",
      "Action": ["grafana:Describe*", "grafana:List*"],
      "Resource": "*"
    }
  ]
}

AWS 托管策略：AmazonGrafanaRedshiftAccess

此策略授予对 Amazon Redshift，以及在 Amazon Managed Grafana 中使用 Amazon Redshift 插件所需的依赖项的限定访问权限。AmazonGrafanaRedshiftAccess 策略允许用户或 IAM 角色在 Grafana 中使用 Amazon Redshift 数据来源插件。Amazon Redshift 数据库的临时凭证仅限于数据库用户 redshift_data_api_user，如果使用键 RedshiftQueryOwner 标记了密钥，则可以从 Secrets Manager 中检索凭证。此策略允许访问标记为 GrafanaDataSource 的 Amazon Redshift 集群。创建客户管理型策略时，基于标签的身份验证是可选的。

您可以将 AmazonGrafanaRedshiftAccess 附加到您的 IAM 实体。Amazon Managed Grafana 还会将此策略附加到允许 Amazon Managed Grafana 代表您执行操作的服务角色。

权限详细信息

此策略包含以下权限。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "redshift:DescribeClusters",
        "redshift-data:GetStatementResult",
        "redshift-data:DescribeStatement",
        "secretsmanager:ListSecrets"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "redshift-data:DescribeTable",
        "redshift-data:ExecuteStatement",
        "redshift-data:ListTables",
        "redshift-data:ListSchemas"
      ],
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/GrafanaDataSource": "false"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": "redshift:GetClusterCredentials",
      "Resource": [
        "arn:aws:redshift:*:*:dbname:*/*",
        "arn:aws:redshift:*:*:dbuser:*/redshift_data_api_user"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Resource": "*",
      "Condition": {
        "Null": {
          "secretsmanager:ResourceTag/RedshiftQueryOwner": "false"
        }
      }
    }
  ]
}

AWS 托管策略：AmazonGrafanaAthenaAccess

此策略授予访问 Athena 和所需依赖项的权限，以便能够通过 Amazon Managed Grafana 中的 Athena 插件查询结果并将结果写入 Amazon s3。AmazonGrafanaAthenaAccess 策略允许用户或 IAM 角色在 Grafana 中使用 Athena 数据来源插件。必须使用 GrafanaDataSource 对 Athena 工作组进行标记之后才能对其进行访问。此策略包含在名称前缀为 grafana-athena-query-results- 的 Amazon S3 存储桶中写入查询结果的权限。用户访问 Athena 查询底层数据来源的 Amazon S3 权限不包含在本策略中。

您可将 AWSGrafanaAthenaAccess 策略附加到 IAM 实体。Amazon Managed Grafana 还会将此策略附加到允许 Amazon Managed Grafana 代表您执行操作的服务角色。

权限详细信息

此策略包含以下权限。

{
	"Version": "2012-10-17",
	"Statement": [
	    {
	        "Effect": "Allow",
	        "Action": [
	            "athena:GetDatabase",
	            "athena:GetDataCatalog",
	            "athena:GetTableMetadata",
	            "athena:ListDatabases",
	            "athena:ListDataCatalogs",
	            "athena:ListTableMetadata",
	            "athena:ListWorkGroups"
	        ],
	        "Resource": [
	            "*"
	        ]
	    },
	    {
	        "Effect": "Allow",
	        "Action": [
	            "athena:GetQueryExecution",
	            "athena:GetQueryResults",
	            "athena:GetWorkGroup",
	            "athena:StartQueryExecution",
	            "athena:StopQueryExecution"
	        ],
	        "Resource": [
	            "*"
	        ],
	        "Condition": {
	            "Null": {
	                "aws:ResourceTag/GrafanaDataSource": "false"
	            }
	        }
	    },
	    {
	        "Effect": "Allow",
	        "Action": [
	            "glue:GetDatabase",
	            "glue:GetDatabases",	            
	            "glue:GetTable",
	            "glue:GetTables",
	            "glue:GetPartition",
	            "glue:GetPartitions",
	            "glue:BatchGetPartition"
	        ],
	        "Resource": [
	            "*"
	        ]
	    },
	    {
	        "Effect": "Allow",
	        "Action": [
	            "s3:GetBucketLocation",
	            "s3:GetObject",
	            "s3:ListBucket",
	            "s3:ListBucketMultipartUploads",
	            "s3:ListMultipartUploadParts",
	            "s3:AbortMultipartUpload",
	            "s3:CreateBucket",
	            "s3:PutObject",
	            "s3:PutBucketPublicAccessBlock"
	        ],
	        "Resource": [
	            "arn:aws:s3:::grafana-athena-query-results-*"
	        ]
	    }
	]
}

AWS 托管策略：AmazonGrafanaCloudWatchAccess 访问权限

此策略授予访问 Amazon CloudWatch，以及在 Amazon Managed Grafana 中使用 CloudWatch 作为数据来源所需的依赖项的权限。

您可以将 AWSGrafanaCloudWatchAccess 策略附加到 IAM 实体。Amazon Managed Grafana 还会将此策略附加到允许 Amazon Managed Grafana 代表您执行操作的服务角色。

权限详细信息

该策略包含以下权限。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudwatch:DescribeAlarmsForMetric",
        "cloudwatch:DescribeAlarmHistory",
        "cloudwatch:DescribeAlarms",
        "cloudwatch:ListMetrics",
        "cloudwatch:GetMetricStatistics",
        "cloudwatch:GetMetricData",
        "cloudwatch:GetInsightRuleReport"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "logs:DescribeLogGroups",
        "logs:GetLogGroupFields",
        "logs:StartQuery",
        "logs:StopQuery",
        "logs:GetQueryResults",
        "logs:GetLogEvents"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeTags",
        "ec2:DescribeInstances",
        "ec2:DescribeRegions"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "tag:GetResources",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "oam:ListSinks",
        "oam:ListAttachedLinks"
      ],
      "Resource": "*"
    }
  ]
}

Amazon Managed Grafana AWS 托管式策略更新

查看有关适用于 Amazon Managed Grafana 的 AWS 托管式策略更新的详细信息（从该服务开始跟踪这些更改开始）。有关此页面更改的自动提示，请订阅 Amazon Managed Grafana 文档历史记录页面上的 RSS 源。