複数のチームが同じ監視ダッシュボードにアクセスする必要があることが多いです。 例えば、DevOpsチームはアプリケーションのパフォーマンスを監視し、サポートチームは同じダッシュボードを使って顧客の問題をトラブルシューティングします。
Azure role-based access control(RBAC)を使って、Microsoft Entra ユーザー、グループ、サービスプリンシパル、または管理されたアイデンティティに Azure Managed Grafana ワークスペースへのアクセスを許可します。 割り当てられたGrafanaの役割によって、受け手がGrafanaで何ができるかが決まります。 その後、Grafana 管理者は特定のフォルダ、ダッシュボード、データソースへのアクセスを細かく調整するために、Grafana の権限を使い分けることができます。
この記事では、サポートされているGrafanaの役割、それらの割り当て方法、そしてGrafanaコンポーネントの権限設定方法について説明します。
前提条件
- アクティブなサブスクリプションを持つAzure アカウント。 無料でアカウントを作成できます。
- Azure Managed Grafana ワークスペース。 まだお持ちでない場合は、Azureポータルで作成するかまたはAzure CLIを使用して作成できます。
- Grafanaの役割を割り当てるには、ワークスペース上でRole Based Access Control Administrator、User Access Administrator、またはOwnerなどの役割の割り当てを作成する権限が必要です。
- Grafana でフォルダ、ダッシュボード、またはデータ ソースのアクセス許可を編集するには、Grafana 管理者ロールが必要です。
Grafana ロールについて学習する
Azure Managed Grafanaは、ユーザー、グループ、サービスプリンシパル、マネージドIDに異なるレベルのワークスペースアクセスを付与できる認可システムであるAzure RBACをサポートしています。
Azure Managed Grafanaでは、次の組み込みロールを使用でき、それぞれ異なるレベルのアクセスが提供されます。
| 組み込みのロール | 説明 | ID |
|---|---|---|
| Grafana 管理者 | データソースの管理、ダッシュボードの作成、Grafanaチームおよびコンポーネント権限の管理を含むすべてのGrafana操作を行います。 | 22926164-76b3-42b3-bc55-97df8dab3e41 |
| Grafana エディター | ダッシュボードやアラートなど、Grafana インスタンスを表示および編集します。 | a79a5197-3a5c-4973-a920-486035ffd60f |
| Grafana 制限付きビューア | Grafana のホーム ページを表示します。 このロールには既定で割り当てられたアクセス許可が含まれていないため、Grafana v9 ワークスペースでは使用できません。 | 41e04612-9dac-4699-a02b-c82ff2cc3fb5 |
| Grafana ビューアー | ダッシュボードとアラートを含む Grafana ワークスペースを表示します。 | 60921a7e-fef1-4a43-9b16-a26c52ad4769 |
Grafana ユーザー インターフェイスにアクセスするには、前の表に示したロールのいずれかがユーザーに必要です。 Grafana のロールの詳細については、Grafana のドキュメントを参照してください。 Azure の Grafana Limited Viewer ロールは、Grafana ドキュメントの "基本ロールなし" にマップされます。
Grafana ロールを割り当てる
Grafanaのユーザーロールと割り当てはMicrosoft Entra IDと完全に統合されます。 Grafana のロールを Microsoft Entra のユーザー、グループ、サービス プリンシパル、またはマネージド ID に割り当て、そのロールに関連付けられたアクセス許可を付与できます。 これらのアクセス許可は、Azure ポータルまたはコマンド ラインから管理できます。 このセクションでは、Azure ポータルでユーザーに Grafana ロールを割り当てる方法について説明します。
- ポータル
- Azure CLI
Azure Managed Grafana ワークスペースを開きます。
左側のメニューで [アクセスの制御 (IAM)] を選択します。
[ロールの割り当ての追加] を選択します。
<sb0><c0><c1>Azureプラットフォームでのロールの割り当て追加のスクリーンショット</c1></c0>
[Grafana 管理者]、[Grafana 編集者]、[Grafana 制限付き閲覧者]、または [Grafana 閲覧者] の中から、割り当てる Grafana ロールを選んで、[次へ] を選びます。
アクセスを [ユーザー、グループ、サービス プリンシパル]、または [マネージド ID] のどちらに割り当てるかを選択します。
[ メンバーの選択 ] を選択し、Grafana ロールに割り当てるメンバーを選択します。 [選択] で選択内容を確認します。
[次へ] を選択し、[確認と割り当て] を選択してロールの割り当てを完了します。
ヒント
新しいユーザーを Azure Managed Grafana ワークスペースにオンボードするときに、Grafana Limited Viewer ロールを付与すると、Grafana ワークスペースへの制限付きアクセスが許可されます。
その後、管理設定を使用して、関連する各ダッシュボードとデータ ソースへのアクセス権をユーザーに付与できます。 この方法により、Grafana 制限付き閲覧者ロールを持つユーザーは、必要な特定のコンポーネントにのみアクセスし、セキュリティとデータのプライバシーが強化されます。
特定のコンポーネント要素のアクセス許可を編集する
次の手順に従って、ダッシュボード、フォルダー、データ ソースなどの特定のコンポーネントのアクセス許可を Grafana ユーザー インターフェイスから編集します。
- Grafana ポータルを開き、アクセス許可を管理する対象のコンポーネントに移動します。
- [設定]>[アクセス許可]>[アクセス許可の追加] に進みます。
- [Add permission for] (アクセス許可の追加) で、ユーザー、サービス アカウント、チーム、またはロールを選択し、必要なアクセス許可レベル (表示、編集、管理者) を割り当てます。
Grafanaは、ユーザーが Grafana ロール、個別の割り当て、チーム、または親フォルダから得る最高権限を使用します。 コンポーネントに低い権限を割り当てても、他のソースから継承されたより高い権限を上書きすることはありません。 また、コンポーネント権限を使ってGrafana管理者のアクセスを制限することもできません。
コンポーネントアクセスをスケーラブルに管理するには、GrafanaチームをMicrosoft Entraグループと同期させましょう。