Jak zmodyfikować uprawnienia dostępu do usługi Azure Monitor

Domyślnie po utworzeniu wystąpienia narzędzia Grafana jest ona dostarczana z rolą Czytelnik monitorowania udzieloną dla wszystkich danych usługi Azure Monitor i zasobów usługi Log Analytics w ramach subskrypcji.

Oznacza to, że nowe wystąpienie narzędzia Grafana może uzyskiwać dostęp do wszystkich danych monitorowania w subskrypcji i przeszukiwać je. Może wyświetlać metryki i dzienniki usługi Azure Monitor ze wszystkich zasobów oraz dzienniki przechowywane w obszarach roboczych usługi Log Analytics w subskrypcji.

Z tego artykułu dowiesz się, jak ręcznie udzielić uprawnień dla usługi Azure Managed Grafana w celu uzyskania dostępu do zasobu platformy Azure przy użyciu tożsamości zarządzanej.

Wymagania wstępne

• Konto platformy Azure z aktywną subskrypcją. Utwórz konto bezpłatnie.
• Wystąpienie zarządzane przez narzędzie Grafana platformy Azure. Jeśli jeszcze go nie masz, utwórz wystąpienie usługi Azure Managed Grafana.
• Zasób platformy Azure z uprawnieniami monitorowania i zapisu, takimi jak administrator dostępu użytkowników lub właściciel

Logowanie się do platformy Azure

Zaloguj się do witryny Azure Portal pod adresem https://portal.azure.com/ przy użyciu konta platformy Azure.

Edytowanie uprawnień usługi Azure Monitor

Aby edytować uprawnienia dla określonego zasobu, wykonaj następujące kroki.

Portal

1. Otwórz zasób zawierający dane monitorowania, które chcesz pobrać. W tym przykładzie konfigurujemy zasób usługi Application Insights.

2. Wybierz Access Control (Zarządzanie dostępem i tożsamościami).

3. W obszarze Nadaj dostęp do tego zasobu wybierz Dodaj przypisane roli.

   

4. W portalu wymieniono wszystkie role, które można nadać zasobowi usługi Azure Managed Grafana. Wybierz rolę. Na przykład Czytelnik monitorowania i wybierz przycisk Dalej.

5. W obszarze Przypisz dostęp do wybierz pozycję Tożsamość zarządzana.

6. Kliknij pozycję Wybierz członków.

   

7. Wybierz subskrypcję zawierającą wystąpienie zarządzanego narzędzia Grafana.

8. W obszarze Tożsamość zarządzana wybierz pozycję Azure Managed Grafana.

9. Wybierz jedno lub kilka zarządzanych wystąpień narzędzia Grafana.

10. Kliknij pozycję Wybierz, aby potwierdzić

    

11. Wybierz pozycję Dalej, a następnie przejrzyj i przypisz, aby potwierdzić przypisanie nowego uprawnienia.

Aby uzyskać więcej informacji na temat używania zarządzanego narzędzia Grafana z usługą Azure Monitor, przejdź do tematu Monitorowanie usług platformy Azure w narzędziu Grafana.

Interfejs wiersza polecenia platformy Azure

Przypisz przypisanie roli przy użyciu polecenia az role assignment create .

W poniższym kodzie zastąp następujące symbole zastępcze:

• <assignee>: Jeśli jego parametr --assignee wprowadź identyfikator obiektu przypisywanego lub nazwę logowania użytkownika lub nazwę główną usługi. Jeśli parametr --assignee-object-id wprowadź identyfikatory obiektów dla użytkowników lub grup lub jednostek usługi lub tożsamości zarządzanych. W przypadku tożsamości zarządzanych użyj identyfikatora podmiotu zabezpieczeń. W przypadku jednostek usługi użyj identyfikatora obiektu, a nie identyfikatora aplikacji. Aby uzyskać więcej informacji, zapoznaj się z poleceniem az role assignment create .
• <roleNameOrId>: wprowadź nazwę lub identyfikator roli. W polu Czytelnik monitorowania wprowadź lub Monitoring Reader 43d0d8ad-25c7-4714-9337-8ba259a9fe05.
• <scope>: wprowadź pełny identyfikator zasobu, do których musi mieć dostęp usługa Azure Managed Grafana.

az role assignment create --assignee "<assignee>" \
--role "<roleNameOrId>" \
--scope "<scope>"

lub

az role assignment create --assignee-object-id "<assignee>" --assignee-principal-type "<ForeignGroup / Group / ServicePrincipal / User>" \
--role "<roleNameOrId>" \
--scope "<scope>"

Przykład: przypisywanie uprawnień dla wystąpienia zarządzanego narzędzia Grafana platformy Azure w celu uzyskania dostępu do zasobu usługi Application Insights przy użyciu tożsamości zarządzanej.

az role assignment create --assignee-object-id "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb" --assignee-principal-type "ServicePrincipal" \
--role "Monitoring Reader" \
--scope "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/my-rg/providers/microsoft.insights/components/myappinsights/"

Aby uzyskać więcej informacji na temat przypisywania ról platformy Azure przy użyciu interfejsu wiersza polecenia platformy Azure, zapoznaj się z dokumentacją Kontroli dostępu opartej na rolach.

Następne kroki

Jak skonfigurować źródła danych dla usługi Azure Managed Grafana