Ändern von Zugriffsberechtigungen für Azure Monitor

Wenn eine Grafana-Instanz erstellt wird, wurde dieser standardmäßig die Rolle „Benutzer mit Leseberechtigung für Überwachungsdaten“ für alle Azure Monitor-Daten und Log Analytics-Ressourcen innerhalb des Abonnements gewährt.

Das bedeutet, dass die neue Grafana-Instanz auf alle Überwachungsdaten im Abonnement zugreifen und diese durchsuchen kann. Sie kann die Azure Monitor-Metriken und -Protokolle von allen Ressourcen sowie alle in Log Analytics-Arbeitsbereichen gespeicherten Protokolle im Abonnement anzeigen.

In diesem Artikel erfahren Sie, wie Sie Azure Managed Grafana manuell die Berechtigung erteilen, mithilfe einer verwalteten Identität auf eine Azure-Ressource zuzugreifen.

Voraussetzungen

• Ein Azure-Konto mit einem aktiven Abonnement. Sie können kostenlos ein Konto erstellen.
• Eine Azure Managed Grafana-Instanz. Wenn Sie noch nicht über eine Instanz verfügen, erstellen Sie eine Azure Managed Grafana-Instanz.
• Eine Azure-Ressource mit Überwachungsdaten und Schreibberechtigungen, z. B. Benutzerzugriffsadministrator oder Besitzer

Anmelden bei Azure

Melden Sie sich unter https://portal.azure.com/ mit Ihrem Azure-Konto beim Azure-Portal an.

Bearbeiten von Azure Monitor-Berechtigungen

Führen Sie die folgenden Schritte aus, um die Berechtigungen für eine bestimmte Ressource zu bearbeiten.

Portal

1. Öffnen Sie eine Ressource, die die Überwachungsdaten enthält, die Sie abrufen möchten. In diesem Beispiel konfigurieren Sie eine Application Insights-Ressource.

2. Wählen Sie Zugriffssteuerung (IAM).

3. Unter Zugriff Zugriff auf diese Ressource gewähren wählen Sie Rollenzuweisung hinzufügen.

   

4. Im Portal werden alle Rollen aufgelistet, die Sie Ihrer Azure Managed Grafana-Ressource zuweisen können. Rolle auswählen Beispiel: Benutzer mit Leseberechtigung für Überwachungsdaten. Wählen Sie Weiter aus.

5. Wählen Sie unter Zugriff zuweisen zu die Option Verwaltete Identität aus.

6. Klicken Sie auf Mitglieder auswählen.

   

7. Wählen Sie das Abonnement aus, das Ihre Managed Grafana-Instanz enthält.

8. Wählen Sie unter Verwaltete Identität die Option Azure Managed Grafana aus.

9. Wählen Sie eine oder mehrere Managed Grafana-Instanzen aus.

10. Klicken Sie auf Auswählen, um Ihre Auswahl zu bestätigen.

    

11. Wählen Sie Weiter und dann Überprüfen und zuweisen aus, um die Zuweisung der neuen Berechtigung zu bestätigen.

Weitere Informationen zur Verwendung von Managed Grafana mit Azure Monitor finden Sie unter Überwachen Ihrer Azure-Dienste in Grafana.

Azure-Befehlszeilenschnittstelle

Weisen Sie eine Rolle mithilfe des Befehls az role assignment create zu.

Ersetzen Sie im hier angegebenen Code die folgenden Platzhalter:

• <assignee>: Geben Sie beim Parameter „--assignee“ die Objekt-ID der zugewiesenen Person, den Benutzeranmeldenamen oder den Dienstprinzipalnamen an. Geben Sie beim Parameter „--assignee-object-id“ die Objekt-IDs für Benutzer, Gruppen, Dienstprinzipale oder verwaltete Identitäten an. Verwenden Sie für verwaltete Identitäten die Prinzipal-ID. Verwenden Sie für Dienstprinzipale die Objekt-ID und nicht die App-ID. Weitere Informationen finden Sie unter dem Befehl az role assignment create.
• <roleNameOrId>: Geben Sie den Namen oder die ID der Rolle ein. Geben Sie für „Benutzer mit Leseberechtigung für Überwachungsdaten“ Monitoring Reader oder 43d0d8ad-25c7-4714-9337-8ba259a9fe05 ein.
• <scope>: Geben Sie die vollständige ID der Ressource ein, auf die Azure Managed Grafana Zugriff benötigt.

az role assignment create --assignee "<assignee>" \
--role "<roleNameOrId>" \
--scope "<scope>"

or

az role assignment create --assignee-object-id "<assignee>" --assignee-principal-type "<ForeignGroup / Group / ServicePrincipal / User>" \
--role "<roleNameOrId>" \
--scope "<scope>"

Beispiel: Zuweisen der Berechtigung für eine Azure Managed Grafana-Instanz für den Zugriff auf eine Application Insights-Ressource mithilfe einer verwalteten Identität:

az role assignment create --assignee-object-id "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb" --assignee-principal-type "ServicePrincipal" \
--role "Monitoring Reader" \
--scope "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/my-rg/providers/microsoft.insights/components/myappinsights/"

Weitere Informationen zum Zuweisen von Azure-Rollen mithilfe der Azure CLI finden Sie in der Dokumentation zur rollenbasierten Zugriffssteuerung.

Nächste Schritte

Konfigurieren von Datenquellen für Azure Managed Grafana