Este tema explica cómo organizar su instancia de Grafana. Se aborda la selección del espacio de trabajo, la autenticación de cuentas y la gestión de permisos.
Información de contexto
Grafana ofrece varias formas de organizar los recursos y los permisos. Cuando varios equipos, departamentos o clientes utilizan la misma instancia, es posible que enfrente los siguientes retos:
Cómo elegir la edición de Grafana adecuada para sus necesidades.
Cómo asignar cuentas y gestionar permisos para evitar que el departamento A consulte la información del departamento B.
Cómo manejar la asignación de costos y la facturación de distintos departamentos.
Cómo configurar el aislamiento cuando los departamentos tienen requisitos diferentes de autenticación, complementos y otras configuraciones.
Cómo permitir que los usuarios consulten contenido público sin autenticación.
Seleccionar una edición de espacio de trabajo
Managed Service for Grafana proporciona cuatro ediciones: Pro Edition (10 accounts), Pro Edition (30 accounts), Pro Edition (50 accounts) y Advanced Edition (100 accounts).
Selección por funciones
La Advanced Edition incluye funciones como reportes y auditoría que no están disponibles en la Pro Edition. Si necesita estas funciones, elija la Advanced Edition.
Selección por cantidad de cuentas
-
Defina el grupo más pequeño de usuarios que requiere acceso.
En la mayoría de los casos, un solo espacio de trabajo cubre las necesidades de todos los usuarios. Sin embargo, en los siguientes escenarios se recomienda crear espacios de trabajo independientes para cada departamento o equipo. Esto garantiza un aislamiento completo de permisos o de datos:
Asignación de costos: para facturar al departamento A y al departamento B por separado, utilice un espacio de trabajo distinto para cada uno.
Integración con OAuth: si necesita integrar Grafana con el sistema de cuentas de su empresa mediante OAuth 2.0 y a cada equipo se le asigna un AppID único, utilice un espacio de trabajo independiente por equipo. Esto se debe a que una configuración personalizada de OAuth en Grafana solo se puede mapear a un único AppID.
Aislamiento de entornos: si requiere una separación estricta de la seguridad de los datos y los permisos de usuario entre los entornos de producción y de prueba, utilice varios espacios de trabajo para aislarlos.
-
Elija una edición que coincida con su cantidad de usuarios.
Para un departamento de 100 personas, se recomienda adquirir la Advanced Edition (100 accounts).
Para un equipo de 20 personas, puede elegir la Pro Edition (30 accounts).
Si tiene 30 usuarios en un entorno de desarrollo y 10 usuarios en un entorno de producción, puede adquirir una Pro Edition (30 accounts) y una Pro Edition (10 accounts).
Si no está seguro de sus requisitos, comience con la Pro Edition (10 accounts). Más adelante podrá actualizar o reducir su edición.
Configurar la autenticación
Además de su sistema integrado de gestión de usuarios, Grafana admite diversos métodos de autenticación para la sincronización de cuentas y el inicio de sesión. Para obtener más información, consulte la documentación oficial de Grafana.
Managed Service for Grafana amplía sus capacidades nativas al integrar los métodos de inicio de sesión de Alibaba Cloud. A continuación se muestra una tabla con los métodos de autenticación comunes disponibles en Managed Service for Grafana. Puede utilizar varios métodos de forma simultánea en un mismo espacio de trabajo.
|
Tipo |
Escenario |
Descripción |
|
Gestión de usuarios con una cuenta de administrador del servidor |
Crear cuentas y contraseñas |
Como administrador del servidor, puede acceder al menú de administración del servidor en la interfaz de Grafana para crear cuentas directamente, establecer contraseñas y otorgar permisos. También puede gestionar las cuentas integradas mediante correo electrónico, Alibaba Cloud SSO, OAuth o LDAP. |
|
Gestión de usuarios con permisos de administrador de la organización |
Invitar usuarios por correo electrónico |
Los roles de administrador del servidor y administrador de la organización tienen niveles de permisos distintos. Como administrador de la organización, no verá el ícono |
|
Alibaba Cloud SSO |
Iniciar sesión con una cuenta de Alibaba Cloud |
En la , puede introducir el ID de una cuenta de Alibaba Cloud o de un usuario de RAM para habilitar el inicio de sesión con dicha cuenta. Si ya inició sesión en la consola de Alibaba Cloud, puede acceder a Grafana sin volver a iniciar sesión. Para obtener más información, consulte Account management. |
|
OAuth |
Integración con un sistema de inicio de sesión empresarial |
Managed Service for Grafana es compatible con el protocolo OAuth estándar. Además de admitir de forma predeterminada los inicios de sesión de Google y Microsoft, Grafana permite integraciones personalizadas para conectarse con un sistema de inicio de sesión corporativo. Para obtener más información, consulte Configure OAuth-based logon for Grafana. |
|
LDAP |
Integración con un sistema de inicio de sesión empresarial |
Actualmente, la consola no permite cargar archivos LDAP. Si requiere esta función, envíe sus comentarios al unirse al grupo de DingTalk de Managed Service for Grafana (ID: 34785590). |
|
Acceso anónimo |
Permitir que los visitantes consulten sin iniciar sesión |
Es posible que algunos paneles deban mostrarse de forma externa para que los usuarios los consulten directamente sin iniciar sesión. Por ejemplo, el sitio oficial de Grafana Play es un sitio de demostración que utiliza acceso anónimo. Para consultar las instrucciones sobre cómo configurar el acceso anónimo, consulte Generate a link to share a Grafana dashboard. |
del administrador del servidor en el panel de navegación izquierdo ni podrá agregar cuentas directamente. En su lugar, puede invitar usuarios al enviarles un correo electrónico con un enlace para que creen su propia cuenta. Los permisos del usuario se establecen cuando se envía la invitación. La diferencia principal es que un administrador de la organización no conoce las contraseñas de las cuentas que crea. Gestionar permisos
Grafana de código abierto ofrece diversos métodos de gestión de permisos que son suficientes para la mayoría de los escenarios. Además del enfoque recomendado por Grafana, que consiste en usar carpetas y equipos, también puede utilizar organizaciones o incluso espacios de trabajo para lograr un control de permisos más estricto.
Comparación de enfoques
Enfoque | Ventajas | Limitaciones |
Carpetas y equipos (recomendado) |
| Carece del aislamiento real que ofrece un espacio de trabajo. |
Organizaciones | Solo necesita configurar la autenticación una vez. |
|
Espacios de trabajo | Cada espacio de trabajo tiene su propia base de datos y archivos de configuración independientes, lo que proporciona un aislamiento real. | La configuración no se puede compartir. Sincronizar fuentes de datos, paneles, carpetas y otros recursos entre espacios de trabajo requiere código personalizado. |
Mejores prácticas para carpetas y equipos
Considere el siguiente ejemplo de un equipo en línea dentro de una empresa:
La empresa cuenta con equipos de desarrollo, O&M y operaciones. Utiliza carpetas para separar los recursos de negocio y de infraestructura.
La carpeta de negocio contiene paneles de negocio basados en datos recopilados de aplicaciones en ejecución. El equipo de desarrollo los configura y el equipo de operaciones los consulta.
La carpeta de infraestructura contiene paneles de monitoreo para la infraestructura en Alibaba Cloud, como ECS y RDS. El equipo de O&M los configura y el equipo de desarrollo los consulta.
Siga estos pasos:
En el panel de navegación izquierdo de Grafana, vaya a
> Configuration.En la página Configuration, haga clic en la pestaña Teams. Utilice el botón New Team para crear los equipos de desarrollo, O&M y operaciones, y luego agregue miembros a cada equipo. Para obtener más información, consulte la documentación oficial de Grafana.
En el panel de navegación izquierdo de Grafana, vaya a
> + New folder para crear las carpetas de negocio y de infraestructura. Para obtener más información, consulte la documentación oficial de Grafana.-
Configure los permisos de las carpetas.
Vaya a una carpeta y abra la pestaña Permissions para agregar permisos. Configure el nivel de permisos de cada equipo en la carpeta actual.
Los niveles de permisos incluyen View (consultar paneles), Edit (agregar, editar y eliminar paneles) y Admin (gestionar permisos y paneles). Seleccione el equipo objetivo y el nivel de permisos, y luego haga clic en Save.
Después de la configuración, los miembros de un equipo con permiso View únicamente pueden consultar los recursos.
NotaSi un usuario tiene permisos Admin de forma individual, pero pertenece a un equipo que solo cuenta con permisos View, prevalece el permiso de mayor nivel. Por lo tanto, el usuario conservará los permisos Admin.