GrafanaMeetup_AmazonManagedGrafanaのアクセス制御機能とマルチテナント環境下でのアクセス制御について

Slide 1

Slide 1 text

Amazon Managed Grafanaのアクセス制御機能とマルチテナント環境下でのアクセス制御について Grafana Meetup Japan #1 2024年4月24日株式会社野村総合研究所マルチクラウドインテグレーション事業本部金融基盤サービス部高棹大樹

Slide 2

Slide 2 text

1 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. 高棹大樹 – Daiki Takasao NRI 金融基盤サービス部 • 金融機関様向けEKSを用いたマイクロサービス共通基盤のインフラ担当主な仕事趣味最近の困り事 • キャンプ • 筋トレ • 子供と遊ぶ(相手をしてくれる内に。。) • 飼っている猫が懐いてくれない

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

4 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. Amazon Managed Grafanaのアイデンティティ 1. Amazon Managed Grafanaが持つアクセス制御機能 ◼ユーザ ⚫ Grafanaにログインする個々人 ⚫ IAM Identity CenterもしくはSAML連携して使う前提であり、初回ログインで自動で作成される(手動でユーザを作成する事はできない) ◼チーム ⚫ ユーザをチームに所属させて使う ⚫ 同じユーザを複数のチームに所属させる事が可能ユーザ1 ユーザ2 Aチーム Bチームユーザをチームに所属させる同一ユーザを複数チームに所属させる事が可能

Slide 6

Slide 6 text

5 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. Amazon Managed Grafanaのオブジェクト 1. Amazon Managed Grafanaが持つアクセス制御機能 ◼フォルダ、ダッシュボード、パネルの階層構造を持つフォルダA ダッシュボードパネル(グラフ等) パネルパネルダッシュボードパネルパネル・・・フォルダB ダッシュボードパネル(グラフ等) パネルパネルダッシュボードパネルパネル・・・

Slide 7

Slide 7 text

6 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. Amazon Managed Grafanaのロール 1. Amazon Managed Grafanaが持つアクセス制御機能 ◼Admin/Edit/Viewの3つのロールを持つ ◼ロールは各ユーザに1つづつ紐付く ◼ロールはチームには紐付けられないアクション Admin Edit View データソースの追加、編集、削除 ○ × × ユーザ、チームの追加および編集 ○ × × フォルダの追加、編集、削除 ○ × × ダッシュボード・パネルの追加、編集、削除 ○ ○ × Explore機能の利用 ○ ○ × ダッシュボード・パネルの参照 ○ ○ ○ ユーザ1 ユーザ2 Aチーム Bチーム Edit View Edit

Slide 8

Slide 8 text

7 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. オブジェクト側でのアクセス制御設定 1. Amazon Managed Grafanaが持つアクセス制御機能 ◼フォルダとダッシュボードにアクセス制御設定を行う事が可能 ◼ユーザロールの権限レベルとオブジェクトの権限レベルで強い方が優先される ◼フォルダに設定したアクセス許可設定はフォルダ内のダッシュボードに継承されるフォルダダッシュボードパネル(グラフ等) パネルパネルダッシュボードパネルパネルアクセス許可設定ユーザ2 View Can Edit Aチーム Can View View

Slide 9

Slide 9 text

8 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. オブジェクト側でのアクセス許可設定 1. Amazon Managed Grafanaが持つアクセス制御機能 ◼フォルダとダッシュボードに設定できるアクセス許可設定は以下の通り特定のチーム(Aチーム or Bチーム or etc..) 特定のユーザ(ユーザ1 or ユーザ2 or etc..) Viewロールを持った全てのユーザ Editロールを持った全てのユーザ Can Admin Edit View

Slide 10

Slide 10 text

Slide 11

Slide 11 text

10 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. 実現したいこと 2.マルチテナント環境下でのアクセス制御プラクティス ◼1つGrafana(ワークスペース)上でマルチテナントのダッシュボードを一元管理したい → データソース設定や認証設定から開発エンジニアを解放認知負荷軽減、管理の効率化 ◼他サービスのダッシュボードは参照したいけど、勝手に更新されるのはNG ◼許可無く開発エンジニアが勝手に本番環境のダッシュボードを更新するのはNG → 本番環境統制で必要(エンタープライズシステムだと特に)

Slide 12

Slide 12 text

11 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. 実現方法 2.マルチテナント環境下でのアクセス制御プラクティス ◼各テナントの管理単位(チーム)でGrafana内にチームとフォルダを作成 ◼開発エンジニアのユーザには一律Viewロールを付与 Aチーム用フォルダ Bチーム用フォルダ Aチームユーザ1 View ユーザ2 View Bチームユーザ3 View ユーザ4 View

Slide 13

Slide 13 text

12 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. 実現方法 2.マルチテナント環境下でのアクセス制御プラクティス ◼各チーム用フォルダに以下のアクセス許可設定を追加 ⚫ Viewロールを持った全てのユーザからのViewを許可 ⚫ 対応するチームからのEditを許可 ◼これで他チームのダッシュボードは参照可能にしつつも更新は防げる Aチーム用フォルダアクセス許可設定 Aチーム Can Edit Aチームユーザ1 View ユーザ2 View Viewロールユーザ Can View Bチーム用フォルダアクセス許可設定 Bチーム Can Edit Bチームユーザ3 View ユーザ4 View Viewロールユーザ Can View ダッシュボードダッシュボードダッシュボードダッシュボード

Slide 14

Slide 14 text

13 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. 実現方法 2.マルチテナント環境下でのアクセス制御プラクティス ◼Adminロールを持った管理者ユーザが、チームからのユーザ追加/削除を行う事で、ユーザ単位での本番環境用ダッシュボードへのアクセス統制が可能 Aチーム用フォルダアクセス許可設定 Aチーム Can Edit Aチームユーザ1 View ユーザ2 View Viewロールユーザ Can View 管理者ユーザ Admin ダッシュボードダッシュボードチームへの追加/削除でユーザ単位のアクセス統制が掛けられる