多个团队通常需要访问相同的监控仪表盘。 例如，DevOps 团队可能监控应用性能，而支持团队则使用相同的仪表盘来排查客户问题。
使用 Azure 角色基础访问控制（RBAC）授予 Microsoft Entra 用户、组、服务主体或托管身份访问 Azure 托管 Grafana 工作空间的权限。 被分配的Grafana角色决定了接收者在Grafana中能做什么。 Grafana 管理员随后可以使用 Grafana 权限来细化对特定文件夹、仪表盘和数据源的访问。
本文解释了支持的 Grafana 角色、如何分配它们以及如何配置 Grafana 组件的权限。
先决条件
- 拥有有效订阅的 Azure 帐户。 创建帐户。
- Azure 托管 Grafana工作区。 如果您还没有，可以在 Azure 门户中创建一个，或者使用 Azure CLI 创建一个。
- 要分配 Grafana 角色，需要具有在工作区中创建角色分配的权限，例如 基于角色的访问控制管理员、用户访问管理员 或 所有者。
- 要编辑 Grafana 中的文件夹、仪表盘或数据源权限，需要具备 Grafana 管理员 角色。
了解更多 Grafana 角色
Azure 托管 Grafana 支持 Azure RBAC，这是一种授权系统，允许您向用户、组、服务主体或托管身份授予不同层级的工作空间访问权限。
Azure 托管 Grafana中提供了以下内置角色，每个角色提供不同的访问权限级别：
| 内置角色 | Description | ID |
|---|---|---|
| Grafana 管理员 | 执行所有 Grafana 操作，包括管理数据源、创建仪表盘，以及管理 Grafana 团队和组件权限。 | 22926164-76b3-42b3-bc55-97df8dab3e41 |
| Grafana 编辑器 | 查看和编辑 Grafana 实例，包括其仪表板和警报。 | a79a5197-3a5c-4973-a920-486035ffd60f |
| Grafana 受限视图 | 查看 Grafana 主页。 默认情况下，此角色不包含任何分配的权限，并且不适用于 Grafana v9 工作区。 | 41e04612-9dac-4699-a02b-c82ff2cc3fb5 |
| Grafana 查看 | 查看 Grafana 工作区，包括其仪表板和警报。 | 60921a7e-fef1-4a43-9b16-a26c52ad4769 |
若要访问 Grafana 用户界面，用户必须拥有上表中列出的角色之一。 可以从 Grafana 文档查找有关 Grafana 角色的详细信息。 在 Azure 中，Grafana 的有限查看者角色映射到 Grafana 文档中的“无基本角色”。
分配 Grafana 角色
Grafana 用户角色和分配与 Microsoft Entra ID 完全集成。 你可以为任何 Microsoft Entra 用户、组、服务主体或托管身份分配 Grafana 角色，并授予他们与该角色相关的访问权限。 可以从Azure门户或命令行管理这些权限。 本部分介绍如何在 Azure 门户中向用户分配 Grafana 角色。
打开Azure 托管 Grafana工作区。
在左侧菜单中选择 “访问控制”（IAM ）。
选择 “添加角色分配”。
从“Grafana 管理员”、“Grafana 编辑者”、“Grafana 受限查看者”或“Grafana 查看者”中选择要分配的 Grafana 角色，然后选择“下一步”。
选择是要将访问权限分配给“用户、组或服务主体”，还是分配给“托管标识”。
选择 “选择成员 ”，然后选择要分配给 Grafana 角色的成员。 使用 Select 确认你的选择。
选择下一步，然后选择查看 + 分配来完成角色分配。
小窍门
将新用户加入Azure 托管 Grafana工作区时，授予他们 Grafana Limited Viewer 角色可让他们限制对 Grafana 工作区的访问权限。
然后，可以使用其管理设置向用户授予对每个相关仪表板和数据源的访问权限。 此方法可确保具有“Grafana 受限查看者”角色的用户仅访问所需的特定组件，从而增强安全性和数据隐私。
编辑特定组件元素的权限
按照以下步骤从 Grafana 用户界面编辑特定组件（例如仪表板、文件夹和数据源）的权限：
- 打开 Grafana 门户并导航到要管理其权限的组件。
- 转到“设置”>“权限”>“添加权限”。
- 在“添加权限”下，选择用户、服务帐户、团队或角色，并为其分配所需的权限级别：查看、编辑或管理员。
Grafana 使用个人从其 Grafana 角色、个人分配、团队或父文件夹获得的最高权限。 给组件分配较低权限并不会覆盖从其他来源继承的高权限。 你也不能通过组件权限限制 Grafana 管理员的访问。
为了实现组件访问的可扩展性方法，可以将 Grafana 团队与 Microsoft Entra 组同步。