本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # Amazon Managed Grafana 的 Identity and Access Management AWS Identity and Access Management (IAM) 是 AWS 服務 ，可協助管理員安全地控制對 AWS 資源的存取。IAM 管理員可控制誰可以*進行身分驗證* （登入） 和*授權* （具有許可），以使用 Amazon Managed Grafana 資源。IAM 是 AWS 服務 您可以免費使用的 。 **Topics** + [目標對象](#security_iam_audience) + [使用身分驗證](#security_iam_authentication) + [使用政策管理存取權](#security_iam_access-manage) + [Amazon Managed Grafana 如何與 IAM 搭配使用](security_iam_service-with-iam.md) + [Amazon Managed Grafana 的身分型政策範例](security_iam_id-based-policy-examples.md) + [AWS Amazon Managed Grafana 的 受管政策](security-iam-awsmanpol.md) + [對 Amazon Managed Grafana 身分和存取進行故障診斷](security_iam_troubleshoot.md) + [預防跨服務混淆代理人](cross-service-confused-deputy-prevention.md) + [使用 Amazon Managed Grafana 的服務連結角色](using-service-linked-roles.md) ## 目標對象 如何使用 AWS Identity and Access Management (IAM) 會因您的角色而有所不同： + **服務使用者** — 若無法存取某些功能，請向管理員申請所需許可 (請參閱 [對 Amazon Managed Grafana 身分和存取進行故障診斷](security_iam_troubleshoot.md)) + **服務管理員** — 負責設定使用者存取權並提交相關許可請求 (請參閱 [Amazon Managed Grafana 如何與 IAM 搭配使用](security_iam_service-with-iam.md)) + **IAM 管理員** — 撰寫政策以管理存取控制 (請參閱 [Amazon Managed Grafana 的身分型政策範例](security_iam_id-based-policy-examples.md)) ## 使用身分驗證 身分驗證是您 AWS 使用身分憑證登入 的方式。您必須驗證為 AWS 帳戶根使用者、IAM 使用者或擔任 IAM 角色。 您可以使用身分來源的登入資料，例如 AWS IAM Identity Center (IAM Identity Center)、單一登入身分驗證或 Google/Facebook 登入資料，以聯合身分的形式登入。如需有關登入的詳細資訊，請參閱《AWS 登入 使用者指南》**中的[如何登入您的 AWS 帳戶](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)。 對於程式設計存取， AWS 提供 SDK 和 CLI 以密碼編譯方式簽署請求。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [API 請求的AWS 第 4 版簽署程序](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)。 ### AWS 帳戶 根使用者 當您建立 時 AWS 帳戶，您會從一個名為 AWS 帳戶 *theroot 使用者的*登入身分開始，該身分可完整存取所有 AWS 服務 和 資源。強烈建議不要使用根使用者來執行日常任務。有關需要根使用者憑證的任務，請參閱《IAM 使用者指南》**中的[需要根使用者憑證的任務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。 ### 聯合身分 最佳實務是要求人類使用者使用聯合身分提供者，以 AWS 服務 使用臨時憑證存取 。 *聯合身分*是您企業目錄、Web 身分提供者的使用者，或使用身分來源的 AWS 服務 憑證存取 Directory Service 。聯合身分會擔任角色，而該角色會提供臨時憑證。 若需集中化管理存取權限，建議使用 AWS IAM Identity Center。如需詳細資訊，請參閱 *AWS IAM Identity Center 使用者指南*中的[什麼是 IAM Identity Center？](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html)。 ### IAM 使用者和群組 *IAM 使用者*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)是一種身分具備單人或應用程式的特定許可權。建議以臨時憑證取代具備長期憑證的 IAM 使用者。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[要求人類使用者使用聯合身分提供者來 AWS 使用臨時憑證存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) 。 [IAM 群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)**會指定 IAM 使用者集合，使管理大量使用者的許可權更加輕鬆。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [IAM 使用者的使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。 ### IAM 角色 *IAM 角色*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)的身分具有特定許可權，其可以提供臨時憑證。您可以透過[從使用者切換到 IAM 角色 （主控台） ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或呼叫 AWS CLI 或 AWS API 操作來擔任角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的[擔任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。 IAM 角色適用於聯合身分使用者存取、臨時 IAM 使用者許可、跨帳戶存取權與跨服務存取，以及在 Amazon EC2 執行的應用程式。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## 使用政策管理存取權 您可以透過建立政策並將其連接到身分或資源 AWS 來控制 AWS 中的存取。政策定義與身分或資源相關聯的許可。當委託人提出請求時 AWS ， 會評估這些政策。大多數政策會以 JSON 文件 AWS 形式存放在 中。如需進一步了解 JSON 政策文件，請參閱《*IAM 使用者指南*》中的 [JSON 政策概觀](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。 管理員會使用政策，透過定義哪些**主體**可在哪些**條件**下對哪些**資源**執行**動作**，以指定可存取的範圍。 預設情況下，使用者和角色沒有許可。IAM 管理員會建立 IAM 政策並將其新增至角色，供使用者後續擔任。IAM 政策定義動作的許可，無論採用何種方式執行。 ### 身分型政策 身分型政策是附加至身分 (使用者、使用者群組或角色) 的 JSON 許可政策文件。這類政策控制身分可對哪些資源執行哪些動作，以及適用的條件。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 身分型政策可分為*內嵌政策* (直接內嵌於單一身分) 與*受管政策* (可附加至多個身分的獨立政策)。如需了解如何在受管政策及內嵌政策之間做選擇，請參閱《IAM 使用者指南》**中的[在受管政策與內嵌政策之間選擇](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。 ### 資源型政策 資源型政策是附加到資源的 JSON 政策文件。範例包括 IAM *角色信任政策*與 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。 資源型政策是位於該服務中的內嵌政策。您無法在資源型政策中使用來自 IAM 的 AWS 受管政策。 ### 其他政策類型 AWS 支援其他政策類型，可設定更多常見政策類型授予的最大許可： + **許可界限** — 設定身分型政策可授與 IAM 實體的最大許可。如需詳細資訊，請參閱《 IAM 使用者指南》**中的 [IAM 實體許可界限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。 + **服務控制政策 (SCP)** — 為 AWS Organizations中的組織或組織單位指定最大許可。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[服務控制政策](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。 + **資源控制政策 (RCP)** — 設定您帳戶中資源可用許可的上限。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[資源控制政策 (RCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。 + **工作階段政策** — 在以程式設計方式為角色或聯合身分使用者建立臨時工作階段時，以參數形式傳遞的進階政策。如需詳細資訊，請參《*IAM 使用者指南*》中的[工作階段政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。 ### 多種政策類型 當多種類型的政策適用於請求時，產生的許可會更複雜而無法理解。若要了解如何 AWS 在涉及多個政策類型時決定是否允許請求，請參閱《*IAM 使用者指南*》中的[政策評估邏輯](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。 # Amazon Managed Grafana 如何與 IAM 搭配使用 在您使用 IAM 管理 Amazon Managed Grafana 的存取權之前，請先了解哪些 IAM 功能可與 Amazon Managed Grafana 搭配使用。 **您可以搭配 Amazon Managed Grafana 使用的 IAM 功能** | IAM 功能 | Amazon Managed Grafana 支援 | | --- | --- | | [身分型政策](#security_iam_service-with-iam-id-based-policies) | 是 | | [資源型政策](#security_iam_service-with-iam-resource-based-policies) | 否 | | [政策動作](#security_iam_service-with-iam-id-based-policies-actions) | 是 | | [政策資源](#security_iam_service-with-iam-id-based-policies-resources) | 是 | | [政策條件索引鍵](#security_iam_service-with-iam-id-based-policies-conditionkeys) | 否 | | [ACL](#security_iam_service-with-iam-acls) | 否 | | [ABAC (政策中的標籤)](#security_iam_service-with-iam-tags) | 是 | | [臨時憑證](#security_iam_service-with-iam-roles-tempcreds) | 是 | | [轉送存取工作階段 (FAS)](#security_iam_service-with-iam-principal-permissions) | 是 | | [服務角色](#security_iam_service-with-iam-roles-service) | 是 | | [服務連結角色](#security_iam_service-with-iam-roles-service-linked) | 是 | 若要全面了解 Amazon Managed Grafana 和其他 AWS 服務如何與大多數 IAM 功能搭配使用，請參閱《IAM *使用者指南*》中的與 IAM [AWS 搭配使用的 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 ## Amazon Managed Grafana 的身分型政策 **支援身分型政策：**是 身分型政策是可以附加到身分 (例如 IAM 使用者、使用者群組或角色) 的 JSON 許可政策文件。這些政策可控制身分在何種條件下能對哪些資源執行哪些動作。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 使用 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及在何種條件下允許或拒絕動作。如要了解您在 JSON 政策中使用的所有元素，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。 ### Amazon Managed Grafana 的身分型政策範例 若要檢視 Amazon Managed Grafana 身分型政策的範例，請參閱 [Amazon Managed Grafana 的身分型政策範例](security_iam_id-based-policy-examples.md)。 ## Amazon Managed Grafana 中的資源型政策 **支援資源型政策：**否 資源型政策是附加到資源的 JSON 政策文件。資源型政策的最常見範例是 IAM *角色信任政策*和 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。對於附加政策的資源，政策會定義指定的主體可以對該資源執行的動作以及在何種條件下執行的動作。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。委託人可以包括帳戶、使用者、角色、聯合身分使用者或 AWS 服務。 如需啟用跨帳戶存取權，您可以在其他帳戶內指定所有帳戶或 IAM 實體作為資源型政策的主體。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## Amazon Managed Grafana 的政策動作 **支援政策動作：**是 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策會使用動作來授予執行相關聯動作的許可。 若要查看 Amazon Managed Grafana 動作的清單，請參閱*《服務授權參考*》中的 [Amazon Managed Grafana 定義的動作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonmanagedgrafana.html#amazonmanagedgrafana-actions-as-permissions)。 Amazon Managed Grafana 中的政策動作在動作之前使用下列字首： ``` grafana ``` 若要在單一陳述式中指定多個動作，請用逗號分隔。 ``` "Action": [ "grafana:action1", "grafana:action2" ] ``` 若要檢視 Amazon Managed Grafana 身分型政策的範例，請參閱 [Amazon Managed Grafana 的身分型政策範例](security_iam_id-based-policy-examples.md)。 ## Amazon Managed Grafana 的政策資源 **支援政策資源：**是 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Resource` JSON 政策元素可指定要套用動作的物件。最佳實務是使用其 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 來指定資源。若動作不支援資源層級許可，使用萬用字元 (\$1) 表示該陳述式適用於所有資源。 ``` "Resource": "*" ``` 若要查看 Amazon Managed Grafana 資源類型及其 ARNs 的清單，請參閱*《服務授權參考*》中的 [Amazon Managed Grafana 定義的資源](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonmanagedgrafana.html#amazonmanagedgrafana-resources-for-iam-policies)。若要了解您可以使用哪些動作指定每個資源的 ARN，請參閱 [Amazon Managed Grafana 定義的動作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonmanagedgrafana.html#amazonmanagedgrafana-actions-as-permissions)。 若要檢視 Amazon Managed Grafana 身分型政策的範例，請參閱 [Amazon Managed Grafana 的身分型政策範例](security_iam_id-based-policy-examples.md)。 ## Amazon Managed Grafana 的政策條件索引鍵 **支援服務特定政策條件金鑰：**否 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Condition` 元素會根據定義的條件，指定陳述式的執行時機。您可以建立使用[條件運算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)的條件運算式 (例如等於或小於)，來比對政策中的條件和請求中的值。若要查看所有 AWS 全域條件索引鍵，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 ## Amazon Managed Grafana 中的存取控制清單 (ACLs) **支援 ACL：**否 存取控制清單 (ACL) 可控制哪些主體 (帳戶成員、使用者或角色) 擁有存取某資源的許可。ACL 類似於資源型政策，但它們不使用 JSON 政策文件格式。 ## Amazon Managed Grafana 的屬性型存取控制 (ABAC) **支援 ABAC (政策中的標籤)：**是 Amazon Managed Grafana 支援以資源和身分為基礎的標記。 如需標記 Amazon Managed Grafana 資源的詳細資訊，請參閱 [標記 Amazon Managed Grafana 工作區](Tagging_workspaces.md)。 若要檢視身分型政策範例，以根據該資源上的標籤來限制存取資源，請參閱 [AWS Amazon Managed Grafana 的 受管政策](security-iam-awsmanpol.md)。 屬性型存取控制 (ABAC) 是一種授權策略，依據稱為標籤的屬性來定義許可。您可以將標籤連接至 IAM 實體 AWS 和資源，然後設計 ABAC 政策，以便在委託人的標籤符合資源上的標籤時允許操作。 如需根據標籤控制存取，請使用 `aws:ResourceTag/key-name`、`aws:RequestTag/key-name` 或 `aws:TagKeys` 條件索引鍵，在政策的[條件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中，提供標籤資訊。 如果服務支援每個資源類型的全部三個條件金鑰，則對該服務而言，值為 **Yes**。如果服務僅支援某些資源類型的全部三個條件金鑰，則值為 **Partial**。 如需 ABAC 的詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 ABAC 授權定義許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)。如要查看含有設定 ABAC 步驟的教學課程，請參閱《*IAM 使用者指南*》中的[使用屬性型存取控制 (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)。 ## 搭配 Amazon Managed Grafana 使用臨時憑證 **支援臨時憑證：**是 臨時登入資料提供 AWS 資源的短期存取權，當您使用聯合或切換角色時，會自動建立。 AWS 建議您動態產生臨時登入資料，而不是使用長期存取金鑰。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的臨時安全憑證](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)與[可與 IAM 搭配運作的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 ## 轉送 Amazon Managed Grafana 的存取工作階段 **支援轉寄存取工作階段 (FAS)：**是 轉送存取工作階段 (FAS) 使用呼叫 的委託人許可 AWS 服務，並結合 AWS 服務 請求向下游服務提出請求。如需提出 FAS 請求時的政策詳細資訊，請參閱[轉發存取工作階段](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html)。 ## Amazon Managed Grafana 的服務角色 **支援服務角色：**是 服務角色是服務擔任的 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)，可代您執行動作。IAM 管理員可以從 IAM 內建立、修改和刪除服務角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[建立角色以委派許可給 AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)。 **警告** 變更服務角色的許可可能會中斷 Amazon Managed Grafana 功能。只有在 Amazon Managed Grafana 提供指引時，才能編輯服務角色。 ## Amazon Managed Grafana 的服務連結角色 **支援服務連結角色：**是 服務連結角色是連結至 的一種服務角色 AWS 服務。服務可以擔任代表您執行動作的角色。服務連結角色會出現在您的 中 AWS 帳戶 ，並由服務擁有。IAM 管理員可以檢視，但不能編輯服務連結角色的許可。 如需建立或管理 Amazon Managed Grafana 服務連結角色的詳細資訊，請參閱 [使用 Amazon Managed Grafana 的服務連結角色](using-service-linked-roles.md)。 # Amazon Managed Grafana 的身分型政策範例 根據預設，使用者和角色沒有建立或修改 Amazon Managed Grafana 資源的許可。若要授予使用者對其所需資源執行動作的許可，IAM 管理員可以建立 IAM 政策。 如需了解如何使用這些範例 JSON 政策文件建立 IAM 身分型政策，請參閱《*IAM 使用者指南*》中的[建立 IAM 政策 (主控台)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)。 如需 Amazon Managed Grafana 定義的動作和資源類型的詳細資訊，包括每種資源類型的 ARNs 格式，請參閱*《服務授權參考*》中的 [Amazon Managed Grafana 的動作、資源和條件索引鍵](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonmanagedgrafana.html)。 **Topics** + [政策最佳實務](#security_iam_service-with-iam-policy-best-practices) + [使用 Amazon Managed Grafana 主控台](#security_iam_id-based-policy-examples-console) + [Amazon Managed Grafana 的範例政策](#security_iam_AMG-id-based-policy-examples) ## 政策最佳實務 身分型政策會判斷您帳戶中的某個人員是否可以建立、存取或刪除 Amazon Managed Grafana 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項： + **開始使用 AWS 受管政策並轉向最低權限許可** – 若要開始將許可授予您的使用者和工作負載，請使用將許可授予許多常見使用案例的 *AWS 受管政策*。它們可在您的 中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，以進一步減少許可。如需更多資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 + **套用最低權限許可** – 設定 IAM 政策的許可時，請僅授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為*最低權限許可*。如需使用 IAM 套用許可的更多相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 + **使用 IAM 政策中的條件進一步限制存取權** – 您可以將條件新增至政策，以限制動作和資源的存取。例如，您可以撰寫政策條件，指定必須使用 SSL 傳送所有請求。如果透過特定 例如 使用服務動作 AWS 服務，您也可以使用條件來授予其存取權 CloudFormation。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 + **使用 IAM Access Analyzer 驗證 IAM 政策，確保許可安全且可正常運作** – IAM Access Analyzer 驗證新政策和現有政策，確保這些政策遵從 IAM 政策語言 (JSON) 和 IAM 最佳實務。IAM Access Analyzer 提供 100 多項政策檢查及切實可行的建議，可協助您撰寫安全且實用的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 IAM Access Analyzer 驗證政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。 + **需要多重要素驗證 (MFA)** – 如果您的案例需要 IAM 使用者或 中的根使用者 AWS 帳戶，請開啟 MFA 以提高安全性。如需在呼叫 API 操作時請求 MFA，請將 MFA 條件新增至您的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[透過 MFA 的安全 API 存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。 如需 IAM 中最佳實務的相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 安全最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 ## 使用 Amazon Managed Grafana 主控台 若要存取 主控台，您必須擁有最低的一組許可。這些許可必須允許您列出和檢視 中資源的詳細資訊 AWS 帳戶。如果您建立比最基本必要許可更嚴格的身分型政策，則對於具有該政策的實體 (使用者或角色) 而言，主控台就無法如預期運作。 ## Amazon Managed Grafana 的範例政策 本節包含適用於多種 Amazon Managed Grafana 案例的身分型政策。 ### 使用 SAML 的 Grafana 管理員 如果您使用 SAML 進行使用者身分驗證，則建立和管理 Amazon Managed Grafana 的管理員需要下列政策： + **AWSGrafanaAccountAdministrator** 或同等許可，以建立和管理 Amazon Managed Grafana 工作區。 + 如果您想要將 Amazon Managed Grafana 工作區升級至 Grafana Enterprise，則 **AWSMarketplaceManageSubscriptions** 政策或同等許可。 #### 使用 IAM Identity Center 管理帳戶中的 Grafana 管理員 若要授予在整個組織中建立和管理 Amazon Managed Grafana 工作區的許可，以及啟用相依性，例如 IAM Identity Center，請將 **AWSGrafanaAccountAdministrator**、**AWSSSOMasterAccountAdministrator** 和 **AWSSSODirectoryAdministrator** 政策指派給使用者。此外，若要將 Amazon Managed Grafana 工作區升級至 Grafana Enterprise，使用者必須擁有 **AWSMarketplaceManageSubscriptions** IAM 政策或同等許可。 如果您想要在建立 Amazon Managed Grafana 工作區時使用服務受管許可，則建立工作區的使用者也必須具有 `iam:CreateRole`、 `iam:CreatePolicy`和 `iam:AttachRolePolicy`許可。這些是使用 CloudFormation StackSets 部署政策的必要條件，可讓您讀取組織帳戶中的資料來源。 **重要** 將 `iam:CreateRole`、`iam:CreatePolicy` 和 `iam:AttachRolePolicy` 許可授與使用者，可給予該使用者對您 AWS 帳戶的完整管理存取權。例如，擁有這些許可的使用者，可以建立具有所有資源完整許可的政策，並將該政策連接至任何角色。對於您授與這些許可的對象，請務必謹慎。 若要查看授予 **AWSGrafanaAccountAdministrator** 的許可，請參閱 [AWS 受管政策：AWSGrafanaAccountAdministrator](security-iam-awsmanpol.md#security-iam-awsmanpol-AWSGrafanaAccountAdministrator) #### 使用 IAM Identity Center 的成員帳戶中的 Grafana 管理員 若要授予在組織成員帳戶中建立和管理 Amazon Managed Grafana 工作區的許可，請將 **AWSGrafanaAccountAdministrator**、**AWSSSOMemberAccountAdministrator** 和 **AWSSSODirectoryAdministrator** 政策指派給使用者。此外，若要將 Amazon Managed Grafana 工作區升級至 Grafana Enterprise，使用者必須擁有 **AWSMarketplaceManageSubscriptions** IAM 政策或同等許可。 如果您想要在建立 Amazon Managed Grafana 工作區時使用服務受管許可，則建立工作區的使用者也必須具有 `iam:CreateRole`、 `iam:CreatePolicy`和 `iam:AttachRolePolicy`許可。需要這些才能讓使用者讀取帳戶中的資料來源。 **重要** 將 `iam:CreateRole`、`iam:CreatePolicy` 和 `iam:AttachRolePolicy` 許可授與使用者，可給予該使用者對您 AWS 帳戶的完整管理存取權。例如，擁有這些許可的使用者，可以建立具有所有資源完整許可的政策，並將該政策連接至任何角色。對於您授與這些許可的對象，請務必謹慎。 若要查看授予 **AWSGrafanaAccountAdministrator** 的許可，請參閱 [AWS 受管政策：AWSGrafanaAccountAdministrator](security-iam-awsmanpol.md#security-iam-awsmanpol-AWSGrafanaAccountAdministrator) #### 使用 IAM Identity Center 在單一獨立帳戶中建立和管理 Amazon Managed Grafana 工作區和使用者 獨立 AWS 帳戶是尚未成為組織成員的帳戶。如需組織的詳細資訊，請參閱[什麼是 AWS Organizations？](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_introduction.html) 若要授予在獨立帳戶中建立和管理 Amazon Managed Grafana 工作區和使用者的許可，請將 **AWSGrafanaAccountAdministrator**、**AWSSSOMasterAccountAdministrator**、**AWSOrganizationsFullAccess** 和 **AWSSSODirectoryAdministrator** 政策指派給使用者。此外，若要將 Amazon Managed Grafana 工作區升級至 Grafana Enterprise，使用者必須擁有 **AWSMarketplaceManageSubscriptions** IAM 政策或同等許可。 **重要** 將 `iam:CreateRole`、`iam:CreatePolicy` 和 `iam:AttachRolePolicy` 許可授與使用者，可給予該使用者對您 AWS 帳戶的完整管理存取權。例如，擁有這些許可的使用者，可以建立具有所有資源完整許可的政策，並將該政策連接至任何角色。對於您授與這些許可的對象，請務必謹慎。 若要查看授予 **AWSGrafanaAccountAdministrator** 的許可，請參閱 [AWS 受管政策：AWSGrafanaAccountAdministrator](security-iam-awsmanpol.md#security-iam-awsmanpol-AWSGrafanaAccountAdministrator) #### 指派和取消指派使用者對 Amazon Managed Grafana 的存取權 若要授予許可來管理其他使用者對帳戶中 Amazon Managed Grafana 工作區的存取權，包括將 Grafana 管理員許可授予那些使用者，請將 **AWSGrafanaWorkspacePermissionManagementV2** 政策指派給該使用者。如果您使用 IAM Identity Center 來管理此工作區中的使用者，使用者也需要 **AWSSSOReadOnly** 和 **AWSSSODirectoryReadOnly** 政策。 若要查看授予 **AWSGrafanaWorkspacePermissionManagementV2** 的許可，請參閱 [AWS 受管政策：AWSGrafanaWorkspacePermissionManagementV2](security-iam-awsmanpol.md#security-iam-awsmanpol-AWSGrafanaWorkspacePermissionManagementV2) #### Amazon Managed Grafana 唯讀許可 若要授予讀取動作的許可，例如列出和檢視工作區，以及開啟 Grafana 工作區主控台，請將 **AWSGrafanaConsoleReadOnlyAccess**、**AWSSSOReadOnly** 和 **AWSSSODirectoryReadOnly** 政策指派給使用者或 IAM 角色。 若要查看授予 **AWSGrafanaConsoleReadOnlyAccess** 的許可，請參閱 [AWS 受管政策：AWSGrafanaConsoleReadOnlyAccess](security-iam-awsmanpol.md#security-iam-awsmanpol-AWSGrafanaConsoleReadOnlyAccess)。 # AWS Amazon Managed Grafana 的 受管政策 AWS 受管政策是由 AWS AWS 受管政策建立和管理的獨立政策旨在為許多常用案例提供許可，以便您可以開始將許可指派給使用者、群組和角色。 請記住， AWS 受管政策可能不會授予特定使用案例的最低權限許可，因為這些許可可供所有 AWS 客戶使用。我們建議您定義特定於使用案例的[客戶管理政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies)，以便進一步減少許可。 您無法變更 AWS 受管政策中定義的許可。如果 AWS 更新受 AWS 管政策中定義的許可，則更新會影響政策連接的所有主體身分 （使用者、群組和角色）。 AWS 服務 當新的 啟動或新的 API 操作可供現有服務使用時， AWS 最有可能更新 AWS 受管政策。 如需詳細資訊，請參閱 *IAM 使用者指南*中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。 ## AWS 受管政策：AWSGrafanaAccountAdministrator AWSGrafanaAccountAdministrator 政策可在 Amazon Managed Grafana 內提供存取權，以建立和管理整個組織的帳戶和工作區。 您可以將 AWSGrafanaAccountAdministrator 連接至您的 IAM 實體。 **許可詳細資訊** 此政策包含以下許可。 + `iam` – 允許主體列出並取得 IAM 角色，以便管理員可以將角色與工作區建立關聯，並將角色傳遞至 Amazon Managed Grafana 服務。 + `Amazon Managed Grafana` – 允許主體讀取和寫入存取所有 Amazon Managed Grafana APIs。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AWSGrafanaOrganizationAdmin", "Effect": "Allow", "Action": [ "iam:ListRoles" ], "Resource": "*" }, { "Sid": "GrafanaIAMGetRolePermission", "Effect": "Allow", "Action": "iam:GetRole", "Resource": "arn:aws:iam::*:role/*" }, { "Sid": "AWSGrafanaPermissions", "Effect": "Allow", "Action": [ "grafana:*" ], "Resource": "*" }, { "Sid": "GrafanaIAMPassRolePermission", "Effect": "Allow", "Action": "iam:PassRole", "Resource": "arn:aws:iam::*:role/*", "Condition": { "StringLike": { "iam:PassedToService": "grafana.amazonaws.com" } } } ] } ``` ------ ## AWS 受管政策：AWSGrafanaWorkspacePermissionManagement （已淘汰） 此政策已淘汰。此政策不應連接到任何新使用者、群組或角色。 Amazon Managed Grafana 新增了新的政策 [AWSGrafanaWorkspacePermissionManagementV2](#security-iam-awsmanpol-AWSGrafanaWorkspacePermissionManagementV2) 來取代此政策。這項新的 受管政策透過提供更嚴格的許可集來改善工作區的安全性。 ## AWS 受管政策：AWSGrafanaWorkspacePermissionManagementV2 AWSGrafanaWorkspacePermissionManagementV2 政策僅提供更新 Amazon Managed Grafana 工作區使用者和群組許可的功能。 您可以將 AWSGrafanaWorkspacePermissionManagementV2 連接至您的 IAM 實體。 **許可詳細資訊** 此政策包含以下許可。 + `Amazon Managed Grafana` – 允許主體讀取和更新 Amazon Managed Grafana 工作區的使用者和群組許可。 + `IAM Identity Center` – 允許主體讀取 IAM Identity Center 實體。這是將委託人與 Amazon Managed Grafana 應用程式建立關聯的必要部分，但還需要額外的步驟，如以下政策清單所述。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [{ "Sid": "AWSGrafanaPermissions", "Effect": "Allow", "Action": [ "grafana:DescribeWorkspace", "grafana:DescribeWorkspaceAuthentication", "grafana:UpdatePermissions", "grafana:ListPermissions", "grafana:ListWorkspaces" ], "Resource": "arn:aws:grafana:*:*:/workspaces*" }, { "Sid": "IAMIdentityCenterPermissions", "Effect": "Allow", "Action": [ "sso:DescribeRegisteredRegions", "sso:GetSharedSsoConfiguration", "sso:ListDirectoryAssociations", "sso:GetManagedApplicationInstance", "sso:ListProfiles", "sso:GetProfile", "sso:ListProfileAssociations", "sso-directory:DescribeUser", "sso-directory:DescribeGroup" ], "Resource": "*" } ] } ``` ------ **所需的其他政策** 若要完全允許使用者指派許可，除了`AWSGrafanaWorkspacePermissionManagementV2`政策之外，您還必須指派政策，以提供對 IAM Identity Center 中應用程式指派的存取權。 若要建立此政策，您必須先收集工作區的 **Grafana 應用程式 ARN** 1. 開啟 [IAM Identity Center 主控台](https://console.aws.amazon.com/singlesignon)。 1. 從左側選單中選擇**應用程式**。 1. 在**AWS 受**管索引標籤下，尋找名為 **Amazon Grafana-*workspace-name*** 的應用程式，其中 `workspace-name`是工作區的名稱。選取應用程式名稱。 1. 隨即顯示 Amazon Managed Grafana 為工作區管理的 IAM Identity Center 應用程式。此應用程式的 ARN 會顯示在詳細資訊頁面中。其格式為：`arn:aws:sso::owner-account-id:application/ssoins-unique-id/apl-unique-id`。 您建立的政策看起來應該如下所示。使用您在上一個步驟中找到的 ARN 取代 *grafana-application-arn*： 如需如何建立政策並將其套用至角色或使用者的詳細資訊，請參閱*AWS Identity and Access Management 《 使用者指南*》中的[新增和移除 IAM 身分許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_manage-attach-detach.html)。 ## AWS 受管政策：AWSGrafanaConsoleReadOnlyAccess AWSGrafanaConsoleReadOnlyAccess 政策會授予 Amazon Managed Grafana 中唯讀操作的存取權。 您可以將 AWSGrafanaConsoleReadOnlyAccess 連接至您的 IAM 實體。 **許可詳細資訊** 此政策包含以下許可。 + `Amazon Managed Grafana` – 允許主體唯讀存取 Amazon Managed Grafana APIs ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AWSGrafanaConsoleReadOnlyAccess", "Effect": "Allow", "Action": ["grafana:Describe*", "grafana:List*"], "Resource": "*" } ] } ``` ------ ## AWS 受管政策：AmazonGrafanaRedshiftAccess 此政策授予 Amazon Redshift 的範圍存取權，以及在 Amazon Managed Grafana 中使用 Amazon Redshift 外掛程式所需的相依性。AmazonGrafanaRedshiftAccess 政策允許使用者或 IAM 角色使用 Grafana 中的 Amazon Redshift 資料來源外掛程式。Amazon Redshift 資料庫的臨時登入資料範圍限定為資料庫使用者，`redshift_data_api_user`而且如果秘密以金鑰 標記，則可以擷取來自 Secrets Manager 的登入資料`RedshiftQueryOwner`。此政策允許存取標記為 的 Amazon Redshift 叢集`GrafanaDataSource`。建立客戶受管政策時，標籤型身分驗證是選用的。 您可以將 AmazonGrafanaRedshiftAccess 連接至您的 IAM 實體。Amazon Managed Grafana 也會將此政策連接至服務角色，以允許 Amazon Managed Grafana 代表您執行動作。 **許可詳細資訊** 此政策包含以下許可。 + `Amazon Redshift` – 允許主體描述叢集，並取得名為 之資料庫使用者的臨時登入資料`redshift_data_api_user`。 + `Amazon Redshift–data` – 允許主體在標記為 的叢集上執行查詢`GrafanaDataSource`。 + `Secrets Manager` – 允許主體列出標記為 之秘密的秘密和讀取秘密值`RedshiftQueryOwner`。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "redshift:DescribeClusters", "redshift-data:GetStatementResult", "redshift-data:DescribeStatement", "secretsmanager:ListSecrets" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "redshift-data:DescribeTable", "redshift-data:ExecuteStatement", "redshift-data:ListTables", "redshift-data:ListSchemas" ], "Resource": "*", "Condition": { "Null": { "aws:ResourceTag/GrafanaDataSource": "false" } } }, { "Effect": "Allow", "Action": "redshift:GetClusterCredentials", "Resource": [ "arn:aws:redshift:*:*:dbname:*/*", "arn:aws:redshift:*:*:dbuser:*/redshift_data_api_user" ] }, { "Effect": "Allow", "Action": [ "secretsmanager:GetSecretValue" ], "Resource": "*", "Condition": { "Null": { "secretsmanager:ResourceTag/RedshiftQueryOwner": "false" } } } ] } ``` ------ ## AWS 受管政策：AmazonGrafanaAthenaAccess 此政策會授予 Athena 的存取權，以及啟用從 Amazon Managed Grafana 中的 Athena 外掛程式查詢和寫入結果至 Amazon S3 所需的相依性。AmazonGrafanaAthenaAccess 政策允許使用者或 IAM 角色在 Grafana 中使用 Athena 資料來源外掛程式。Athena 工作群組必須加上 標籤`GrafanaDataSource`才能存取。此政策包含在名稱字首為 的 Amazon S3 儲存貯體中寫入查詢結果的許可`grafana-athena-query-results-`。此政策不包含存取 Athena 查詢基礎資料來源的 Amazon S3 許可。 您可以將 AWSGrafanaAthenaAccess 政策連接至您的 IAM 實體。Amazon Managed Grafana 也會將此政策連接至服務角色，以允許 Amazon Managed Grafana 代表您執行動作。 **許可詳細資訊** 此政策包含以下許可。 + `Athena` – 允許主體對標記為 的工作群組中的 Athena 資源執行查詢`GrafanaDataSource`。 + `Amazon S3` – 允許主體讀取和寫入查詢結果到字首為 的儲存貯體`grafana-athena-query-results-`。 + `AWS Glue` – 允許主體存取 AWS Glue 資料庫、資料表和分割區。這是必要的，以便委託人可以搭配 Athena 使用 AWS Glue Data Catalog。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "athena:GetDatabase", "athena:GetDataCatalog", "athena:GetTableMetadata", "athena:ListDatabases", "athena:ListDataCatalogs", "athena:ListTableMetadata", "athena:ListWorkGroups" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "athena:GetQueryExecution", "athena:GetQueryResults", "athena:GetWorkGroup", "athena:StartQueryExecution", "athena:StopQueryExecution" ], "Resource": [ "*" ], "Condition": { "Null": { "aws:ResourceTag/GrafanaDataSource": "false" } } }, { "Effect": "Allow", "Action": [ "glue:GetDatabase", "glue:GetDatabases", "glue:GetTable", "glue:GetTables", "glue:GetPartition", "glue:GetPartitions", "glue:BatchGetPartition" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "s3:GetBucketLocation", "s3:GetObject", "s3:ListBucket", "s3:ListBucketMultipartUploads", "s3:ListMultipartUploadParts", "s3:AbortMultipartUpload", "s3:CreateBucket", "s3:PutObject", "s3:PutBucketPublicAccessBlock" ], "Resource": [ "arn:aws:s3:::grafana-athena-query-results-*" ] } ] } ``` ------ ## AWS 受管政策：AmazonGrafanaCloudWatchAccess 此政策會授予 Amazon CloudWatch 的存取權，以及使用 CloudWatch 做為 Amazon Managed Grafana 內資料來源所需的相依性。 您可以將 AWSGrafanaCloudWatchAccess 政策連接至您的 IAM 實體。Amazon Managed Grafana 也會將此政策連接至服務角色，以允許 Amazon Managed Grafana 代表您執行動作。 **許可詳細資訊** 此政策包含以下許可。 + `CloudWatch` – 允許主體列出並從 Amazon CloudWatch 取得指標資料和日誌。它還允許在 CloudWatch 跨帳戶可觀測性中檢視從來源帳戶共用的資料。 + `Amazon EC2` – 允許主體取得有關正在監控之資源的詳細資訊。 + `Tags` – 允許主體存取 資源上的標籤，以允許篩選 CloudWatch 指標查詢。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "cloudwatch:DescribeAlarmsForMetric", "cloudwatch:DescribeAlarmHistory", "cloudwatch:DescribeAlarms", "cloudwatch:ListMetrics", "cloudwatch:GetMetricStatistics", "cloudwatch:GetMetricData", "cloudwatch:GetInsightRuleReport" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "logs:DescribeLogGroups", "logs:GetLogGroupFields", "logs:StartQuery", "logs:StopQuery", "logs:GetQueryResults", "logs:GetLogEvents" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "ec2:DescribeTags", "ec2:DescribeInstances", "ec2:DescribeRegions" ], "Resource": "*" }, { "Effect": "Allow", "Action": "tag:GetResources", "Resource": "*" }, { "Effect": "Allow", "Action": [ "oam:ListSinks", "oam:ListAttachedLinks" ], "Resource": "*" } ] } ``` ------ ## Amazon Managed Grafana 受 AWS 管政策的更新 檢視自此服務開始追蹤 Amazon Managed Grafana AWS 受管政策更新以來的詳細資訊。如需此頁面變更的自動提醒，請訂閱 [Amazon Managed Grafana 文件歷史記錄](doc-history.md)頁面上的 RSS 摘要。 | 變更 | 描述 | Date | | --- | --- | --- | | [AWSGrafanaWorkspacePermissionManagement](#security-iam-awsmanpol-AWSGrafanaWorkspacePermissionManagement) – 已淘汰 | 此政策已被 **AWSGrafanaWorkspacePermissionManagementV2** 取代。 此政策視為已過時，不會再更新。新政策透過提供更嚴格的許可集來改善工作區的安全性。 | 2024 年 1 月 5 日 | | [AWSGrafanaWorkspacePermissionManagementV2](#security-iam-awsmanpol-AWSGrafanaWorkspacePermissionManagementV2) – 新政策 | Amazon Managed Grafana 新增了取代**AWSGrafanaWorkspacePermissionManagementV2**過時**AWSGrafanaWorkspacePermissionManagement**政策的政策。這項新的 受管政策透過提供更嚴格的許可集來改善工作區的安全性。 | 2024 年 1 月 5 日 | | [AmazonGrafanaCloudWatchAccess](#security-iam-awsmanpol-AmazonGrafanaCloudWatchAccess) – 新政策 | Amazon Managed Grafana 新增了新的政策 **AmazonGrafanaCloudWatchAccess**。 | 2023 年 3 月 24 日 | | [AWSGrafanaWorkspacePermissionManagement](#security-iam-awsmanpol-AWSGrafanaWorkspacePermissionManagement) – 更新現有政策 | Amazon Managed Grafana 新增了 的新許可，**AWSGrafanaWorkspacePermissionManagement**以便 Active Directory 中的 IAM Identity Center 使用者和群組可以與 Grafana 工作區建立關聯。 已新增下列許可：`sso-directory:DescribeUser`、 和 `sso-directory:DescribeGroup` | 2023 年 3 月 14 日 | | [AWSGrafanaWorkspacePermissionManagement](#security-iam-awsmanpol-AWSGrafanaWorkspacePermissionManagement) – 更新現有政策 | Amazon Managed Grafana 已將新許可新增至 ，**AWSGrafanaWorkspacePermissionManagement**以便 IAM Identity Center 使用者和群組可以與 Grafana 工作區建立關聯。 已新增下列許可：`sso:DescribeRegisteredRegions`、`sso:GetSharedSsoConfiguration`、`sso:ListDirectoryAssociations`、`sso:GetManagedApplicationInstance`、`sso:ListProfiles``sso:AssociateProfile`、`sso:DisassociateProfile`、 `sso:GetProfile`和 `sso:ListProfileAssociations`。 | 2022 年 12 月 20 日 | | [AmazonGrafanaServiceLinkedRolePolicy](using-service-linked-roles.md) – 新 SLR 政策 | Amazon Managed Grafana 新增了 Grafana 服務連結角色 的新政策**AmazonGrafanaServiceLinkedRolePolicy**。 | 2022 年 11 月 18 日 | | [AWSGrafanaAccountAdministrator](#security-iam-awsmanpol-AWSGrafanaAccountAdministrator)、[AWSGrafanaConsoleReadOnlyAccess](#security-iam-awsmanpol-AWSGrafanaConsoleReadOnlyAccess) | 允許存取所有 Amazon Managed Grafana 資源 | 2022 年 2 月 17 日 | | [AmazonGrafanaRedshiftAccess](#security-iam-awsmanpol-AmazonGrafanaRedshiftAccess) – 新政策 | Amazon Managed Grafana 新增了新的政策 **AmazonGrafanaRedshiftAccess**。 | 2021 年 11 月 26 日 | | [AmazonGrafanaAthenaAccess](#security-iam-awsmanpol-AmazonGrafanaAthenaAccess) – 新政策 | Amazon Managed Grafana 新增了新的政策 **AmazonGrafanaAthenaAccess**。 | 2021 年 11 月 22 日 | | [AWSGrafanaAccountAdministrator](#security-iam-awsmanpol-AWSGrafanaAccountAdministrator) – 更新現有政策 | Amazon Managed Grafana 已從 移除許可**AWSGrafanaAccountAdministrator**。 範圍為 `sso.amazonaws.com`服務的`iam:CreateServiceLinkedRole`許可已移除，我們建議您連接 **AWSSSOMasterAccountAdministrator** 政策，以將此許可授予使用者。 | 2021 年 10 月 13 日 | | [AWSGrafanaWorkspacePermissionManagement](#security-iam-awsmanpol-AWSGrafanaWorkspacePermissionManagement) – 更新現有政策 | Amazon Managed Grafana 已將新許可新增至 ，**AWSGrafanaWorkspacePermissionManagement**因此使用此政策的使用者可以看到與工作區相關聯的身分驗證方法。 已新增 `grafana:DescribeWorkspaceAuthentication`許可。 | 2021 年 9 月 21 日 | | [AWSGrafanaConsoleReadOnlyAccess](#security-iam-awsmanpol-AWSGrafanaConsoleReadOnlyAccess) – 更新現有政策 | Amazon Managed Grafana 已將新許可新增至 ，**AWSGrafanaConsoleReadOnlyAccess**因此使用此政策的使用者可以看到與工作區相關聯的身分驗證方法。 `grafana:Describe*` 和 `grafana:List*`許可已新增至政策，並取代先前的較窄許可 `grafana:DescribeWorkspace`、 `grafana:ListPermissions`和 `grafana:ListWorkspaces`。 | 2021 年 9 月 21 日 | | Amazon Managed Grafana 開始追蹤變更 | Amazon Managed Grafana 開始追蹤其 AWS 受管政策的變更。 | 2021 年 9 月 9 日 | # 對 Amazon Managed Grafana 身分和存取進行故障診斷 使用以下資訊來協助您診斷和修正使用 Amazon Managed Grafana 和 IAM 時可能遇到的常見問題。 **Topics** + [我無權在 Amazon Managed Grafana 中執行動作](#security_iam_troubleshoot-no-permissions) + [我未獲得執行 iam:PassRole 的授權](#security_iam_troubleshoot-passrole) + [我想要允許 AWS 帳戶外的人員存取我的 Amazon Managed Grafana 資源](#security_iam_troubleshoot-cross-account-access) ## 我無權在 Amazon Managed Grafana 中執行動作 如果您收到錯誤，告知您未獲授權執行動作，您的政策必須更新，允許您執行動作。 下列範例錯誤會在`mateojackson` IAM 使用者嘗試使用主控台檢視一個虛構 `my-example-widget` 資源的詳細資訊，但卻無虛構 `grafana:GetWidget` 許可時發生。 ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: grafana:GetWidget on resource: my-example-widget ``` 在此情況下，必須更新 `mateojackson` 使用者的政策，允許使用 `grafana:GetWidget` 動作存取 `my-example-widget` 資源。 如果您需要協助，請聯絡您的 AWS 管理員。您的管理員提供您的簽署憑證。 ## 我未獲得執行 iam:PassRole 的授權 如果您收到錯誤，告知您無權執行 `iam:PassRole`動作，您的政策必須更新，以允許您將角色傳遞給 Amazon Managed Grafana。 有些 AWS 服務 可讓您將現有角色傳遞給該服務，而不是建立新的服務角色或服務連結角色。如需執行此作業，您必須擁有將角色傳遞至該服務的許可。 當名為 的 IAM `marymajor` 使用者嘗試使用主控台在 Amazon Managed Grafana 中執行動作時，會發生下列範例錯誤。但是，動作請求服務具備服務角色授予的許可。Mary 沒有將角色傳遞給服務的許可。 ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` 在這種情況下，Mary 的政策必須更新，允許她執行 `iam:PassRole` 動作。 如果您需要協助，請聯絡您的 AWS 管理員。您的管理員提供您的簽署憑證。 ## 我想要允許 AWS 帳戶外的人員存取我的 Amazon Managed Grafana 資源 您可以建立一個角色，讓其他帳戶中的使用者或您組織外部的人員存取您的資源。您可以指定要允許哪些信任物件取得該角色。針對支援基於資源的政策或存取控制清單 (ACL) 的服務，您可以使用那些政策來授予人員存取您的資源的許可。 如需進一步了解，請參閱以下內容： + 若要了解 Amazon Managed Grafana 是否支援這些功能，請參閱 [Amazon Managed Grafana 如何與 IAM 搭配使用](security_iam_service-with-iam.md)。 + 若要了解如何 AWS 帳戶 在您擁有的 資源間提供存取權，請參閱《[IAM 使用者指南》中的在您擁有 AWS 帳戶 的另一個 IAM 使用者中提供存取權](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html)。 ** + 若要了解如何將資源的存取權提供給第三方 AWS 帳戶，請參閱《*IAM 使用者指南*》中的[將存取權提供給第三方 AWS 帳戶 擁有](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)。 + 如需了解如何透過聯合身分提供存取權，請參閱《*IAM 使用者指南*》中的[將存取權提供給在外部進行身分驗證的使用者 (聯合身分)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html)。 + 如需了解使用角色和資源型政策進行跨帳戶存取之間的差異，請參閱《IAM 使用者指南》**中的 [IAM 中的跨帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 # 預防跨服務混淆代理人 混淆代理人問題屬於安全性問題，其中沒有執行動作許可的實體可以強制具有更多許可的實體執行該動作。在 中 AWS，跨服務模擬可能會導致混淆代理人問題。在某個服務 (*呼叫服務*) 呼叫另一個服務 (*被呼叫服務*) 時，可能會發生跨服務模擬。可以操縱呼叫服務來使用其許可，以其不應有存取許可的方式對其他客戶的資源採取動作。為了預防這種情況， AWS 提供的工具可協助您保護所有服務的資料，而這些服務主體已獲得您帳戶中資源的存取權。 我們建議在資源政策中使用 [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn)和 [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount)全域條件內容金鑰，以限制 Amazon Managed Grafana 為資源提供其他服務的許可。如果 `aws:SourceArn` 值不包含帳戶 ID (例如 Amazon S3 儲存貯體 ARN)，您必須使用這兩個全域條件內容金鑰來限制許可。如果同時使用這兩個全域條件內容金鑰，且 `aws:SourceArn` 值包含帳戶 ID，則在相同政策陳述式中使用 `aws:SourceAccount` 值和 `aws:SourceArn` 值中的帳戶時，必須使用相同的帳戶 ID。如果您想要僅允許一個資源與跨服務存取相關聯，則請使用 `aws:SourceArn`。如果您想要允許該帳戶中的任何資源與跨服務使用相關聯，請使用 `aws:SourceAccount`。 的值`aws:SourceArn`必須是 Amazon Managed Grafana 工作區的 ARN。 防範混淆代理人問題最有效的方法，是使用 `aws:SourceArn` 全域條件內容金鑰，以及資源的完整 ARN。如果不知道資源的完整 ARN，或者如果您指定了多個資源，請使用 `aws:SourceArn` 全域條件內容金鑰，同時使用萬用字元 (`*`) 表示 ARN 的未知部分。例如 `arn:aws:grafana:*:123456789012:*`。 下列範例示範如何在 Amazon Managed Grafana Workspace IAM 角色信任政策中使用 `aws:SourceArn`和 `aws:SourceAccount`全域條件內容金鑰，以防止混淆代理人問題。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "grafana.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "StringEquals": { "aws:SourceAccount": "accountId", "aws:SourceArn": "arn:aws:grafana:region:accountId:/workspaces/workspaceId" } } } ] } ``` ------ # 使用 Amazon Managed Grafana 的服務連結角色 Amazon Managed Grafana 使用 AWS Identity and Access Management (IAM) [服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)。服務連結角色是直接連結至 Amazon Managed Grafana 的唯一 IAM 角色類型。服務連結角色由 Amazon Managed Grafana 預先定義，並包含該服務代表您呼叫其他 AWS 服務所需的所有許可。 服務連結角色可讓您更輕鬆地設定 Amazon Managed Grafana，因為您不必手動新增必要的許可。Amazon Managed Grafana 會定義其服務連結角色的許可，除非另有定義，否則只有 Amazon Managed Grafana 可以擔任其角色。定義的許可包括信任政策和許可政策，且該許可政策無法附加至其他 IAM 實體。 您必須先刪除服務連結角色的相關資源，才能將其刪除。這可保護您的 Amazon Managed Grafana 資源，因為您不會不小心移除存取資源的許可。 如需有關支援服務連結角色的其他 服務的資訊，請參閱[AWS 服務連結角色欄中適用於 IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) 的服務，並尋找具有**是**的服務。 ****選擇具有連結的**是**，以檢視該服務的服務連結角色文件。 ## Amazon Managed Grafana 的服務連結角色許可 Amazon Managed Grafana 使用名為 **AmazonManagedGrafana** 的服務連結角色 – Amazon Managed Grafana 使用此角色在客戶帳戶中建立和設定資源，例如 ENIs 或 Secrets Manager 秘密。AmazonManagedGrafana 服務連結角色信任下列服務擔任該角色： + `grafana.amazonaws.com` AmazonManagedGrafana 服務連結角色會連接到`AmazonGrafanaServiceLinkedRolePolicy`政策。如需更新此政策，請參閱「[Amazon Managed Grafana 受 AWS 管政策的更新](security-iam-awsmanpol.md#iam-awsmanpol-updates)」。 角色許可政策允許 Amazon Managed Grafana 對指定的資源完成下列動作。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "ec2:DescribeNetworkInterfaces", "ec2:DescribeVpcs", "ec2:DescribeDhcpOptions", "ec2:DescribeSubnets", "ec2:DescribeSecurityGroups" ], "Resource": "*" }, { "Effect": "Allow", "Action": "ec2:CreateNetworkInterface", "Resource": "*", "Condition": { "ForAllValues:StringEquals": { "aws:TagKeys": [ "AmazonGrafanaManaged" ] } } }, { "Effect": "Allow", "Action": "ec2:CreateTags", "Resource": "arn:aws:ec2:*:*:network-interface/*", "Condition": { "StringEquals": { "ec2:CreateAction": "CreateNetworkInterface" }, "Null": { "aws:RequestTag/AmazonGrafanaManaged": "false" } } }, { "Effect": "Allow", "Action": "ec2:DeleteNetworkInterface", "Resource": "*", "Condition": { "Null": { "ec2:ResourceTag/AmazonGrafanaManaged": "false" } } } ] } ``` ------ 您必須設定許可，IAM 實體 (如使用者、群組或角色) 才可建立、編輯或刪除服務連結角色。如需詳細資訊，請參閱 *IAM 使用者指南*中的[服務連結角色許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。 ## 為 Amazon Managed Grafana 建立服務連結角色 您不需要手動建立服務連結角色，當您在 AWS 管理主控台 AWS CLI、 或 AWS API 中使用 VpcConfiguration 呼叫 CreateWorkspace 時，Amazon Managed Grafana 會為您建立服務連結角色。 **重要** 此服務連結角色可以顯示在您的帳戶，如果您於其他服務中完成一項動作時，可以使用支援此角色的功能。此外，如果您在 2022 年 11 月 30 日之前使用 Amazon Managed Grafana 服務，則當它開始支援服務連結角色時，Amazon Managed Grafana 會在您的帳戶中建立 AmazonManagedGrafana 角色。若要進一步了解，請參閱[我的 IAM 帳戶中出現的新角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/troubleshoot_roles.html#troubleshoot_roles_new-role-appeared)。 若您刪除此服務連結角色，之後需要再次建立，您可以在帳戶中使用相同程序重新建立角色。當您使用 VpcConfiguration 呼叫 CreateWorkspace 時，Amazon Managed Grafana 會再次為您建立服務連結角色。 您也可以使用 IAM 主控台建立具有 **Grafana** 使用案例的服務連結角色。在 AWS CLI 或 AWS API 中，使用服務名稱建立`grafana.amazonaws.com`服務連結角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的「[建立服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#create-service-linked-role)」。如果您刪除此服務連結角色，您可以使用此相同的程序以再次建立該角色。 ## 編輯 Amazon Managed Grafana 的服務連結角色 Amazon Managed Grafana 不允許您編輯 AmazonManagedGrafana 服務連結角色。因為有各種實體可能會參考服務連結角色，所以您無法在建立角色之後變更角色名稱。然而，您可使用 IAM 來編輯角色描述。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[編輯服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。 ## 刪除 Amazon Managed Grafana 的服務連結角色 若您不再使用需要服務連結角色的功能或服務，我們建議您刪除該角色。如此一來，您就沒有未主動監控或維護的未使用實體。然而，在手動刪除服務連結角色之前，您必須先清除資源。 **注意** 如果您嘗試刪除資源時，Amazon Managed Grafana 服務正在使用該角色，則刪除可能會失敗。若此情況發生，請等待數分鐘後並再次嘗試操作。 **刪除 AmazonManagedGrafana 使用的 AmazonManagedGrafana 資源** 1. `Region` 在 AWS 主控台中導覽至 中的所有**工作區**檢視。 1. 刪除 中的所有工作區`Region`。您必須檢查每個工作區的選項按鈕，然後選擇**所有工作區**檢視右上角的**刪除**按鈕。重複刪除每個工作區，直到從 刪除所有工作區為止`Region`。如需在 Amazon Managed Grafana 中刪除工作區的詳細資訊，請參閱本使用者指南中的[刪除工作區](https://docs.aws.amazon.com/grafana/latest/userguide/AMG-edit-delete-workspace.html)主題。 **注意** 針對 AWS 區域 您擁有工作區的每個 重複此程序。您必須刪除*所有區域中*的所有工作區，才能刪除服務連結角色。 **使用 IAM 手動刪除服務連結角色** 使用 IAM 主控台 AWS CLI、 或 AWS API 來刪除 AmazonManagedGrafana 服務連結角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[刪除服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。 ## Amazon Managed Grafana 服務連結角色支援的區域 Amazon Managed Grafana 支援在提供服務的所有區域中使用服務連結角色。如需詳細資訊，請參閱 [AWS 區域與端點](https://docs.aws.amazon.com/general/latest/gr/grafana-service.html)。