Microsoft Entra グループと Grafana Team Sync を使用して Grafana チームを構成する

[アーティクル]
06/24/2024

このガイドでは、Microsoft Entra グループと Grafana Team Sync を使用して、Azure Managed Grafana でダッシュボードのアクセス許可を管理する方法について説明します。

Azure Managed Grafana では、Azure の Grafana 用ロールベースのアクセス制御 (RBAC) ロールを使用してアクセス権を定義できます。これらのアクセス許可は、既定で、フォルダーまたはダッシュボードごとではなく、Grafana ワークスペース内のすべてのリソースに適用されます。ユーザーに Grafana エディターロールを割り当てると、そのユーザーは Grafana ワークスペース内のどのダッシュボードも編集できるようになります。ただし、Grafana の詳細なアクセス許可モデルを使用すると、特定のダッシュボードまたはダッシュボードフォルダーに対するユーザーの既定のアクセス許可レベルを調整できます。

Microsoft Entra グループ同期は、これを管理するのに役立ちます。これを使用すると、Grafana ワークスペースに "Grafana チーム" を作成し、それを Microsoft Entra グループにリンクし、そのチームのダッシュボードのアクセス許可を構成できます。たとえば、Grafana ビューアーにダッシュボードの変更を許可することや、Grafana エディターによる変更を禁止することができます。

前提条件

開始する前に、以下を用意してください。

アクティブなサブスクリプションが含まれる Azure アカウント。無料でアカウントを作成できます。
Azure Managed Grafana インスタンス。必要に応じて、新しいインスタンスを作成します。
Microsoft Entra グループ。必要に応じて、基本グループを作成してメンバーを追加します。

Microsoft Entra グループにアクセス許可を割り当てる

Microsoft Entra グループには、Grafana インスタンスにアクセスできる Grafana ロールが必要です。

Grafana ワークスペースで、[アクセス制御 (IAM)] メニューを開き、[追加]>[新しいロールの割り当てを追加する] を選びます。
Grafana ビューアーなどのロールを Microsoft Entra グループに割り当てます。ロールの割り当ての詳細については、「アクセス権の付与」を参照してください。

Grafana チームを作成する

Microsoft Entra ID に基づく Grafana チームを設定します。

Azure portal で Grafana インスタンスを開き、[設定] の [構成] を選びます。
[Microsoft Entra のチーム同期設定] タブを選びます。
[新しい Grafana チームの作成] を選びます。
Grafana チームの名前を入力し、[追加] を選びます。

Microsoft Entra グループを Grafana チームに割り当てる

[アクセスの割り当て先] で、新しく作成した Grafana チームを選びます。
[+ Microsoft Entra グループの追加] を選びます。
検索ボックスに Microsoft Entra グループ名を入力し、結果からグループ名を選びます。 [選択] をクリックして確定します。
必要に応じて、前の 3 つの手順を繰り返して、さらに Microsoft Entra グループを Grafana チームに追加します。

Grafana フォルダーまたはダッシュボードへのアクセスを割り当てる

Grafana UI で、フォルダーまたはダッシュボードを開きます。
[Permissions] (アクセス許可) タブで、[Add a permission] (アクセス許可の追加) を選びます。
[Add a permission] (アクセス許可の追加) で [Team] (チーム) を選び、チーム名、[View] (表示)、[Edit] (編集)、または [Admin] (管理者) アクセス許可を選んで保存します。ユーザー、チーム、またはロールのアクセス許可を追加できます。

ヒント

ダッシュボードの既存のアクセス許可を確認するには、ダッシュボードを開いて [Permissions] (アクセス許可) タブに移動します。このページには、このダッシュボードに割り当てられたすべてのアクセス許可と、継承されたすべてのアクセス許可が表示されます。

アクセスの範囲を狭くする

1 つ以上のフォルダーへのアクセス許可を削除することで、アクセスを制限できます。

たとえば、Grafana インスタンスで Grafana Viewer (閲覧者) ロールを持つユーザーのアクセスを無効にするには、以下の手順に従って Grafana フォルダーへのアクセスを削除します。

Grafana UI で、ユーザーに対して非表示にするフォルダーに移動します。
[Permissions] (アクセス許可) タブで、[Viewer] (閲覧者) アクセス許可の右側にある [X] ボタンを選び、このフォルダーからこのアクセス許可を削除します。
ユーザーに非表示にするすべてのフォルダーに対してこの手順を繰り返します。

Microsoft Entra グループ同期を削除する

Grafana チームが不要になった場合は、以下の手順に従って削除します。 Grafana チームを削除すると、Microsoft Entra グループへのリンクも削除されます。

Azure portal で Azure Managed Grafana ワークスペースを開きます。
[管理] > [チーム] を選択します。
削除するチームの右側にある [X] ボタンを選択します。
[削除] を選択して確定します。

次のステップ

この攻略ガイドでは、Microsoft Entra グループによってサポートされる Grafana チームを設定する方法について説明しました。チームを使ってワークスペース内のダッシュボードへのアクセスを制御する方法については、「ダッシュボードのアクセス許可を管理する」を参照してください。

次の方法で共有