Cette rubrique explique comment organiser votre instance Grafana, notamment la sélection de l'espace de travail, l'authentification des comptes et la gestion des autorisations.
Contexte
Grafana propose plusieurs méthodes pour organiser les ressources et les autorisations. Lorsque plusieurs équipes, départements ou clients utilisent la même instance, vous pouvez rencontrer les difficultés suivantes :
Choisir l'édition Grafana adaptée à vos besoins.
Attribuer des comptes et gérer les autorisations pour empêcher le département A de consulter les informations du département B.
Gérer l'allocation des coûts et la facturation pour différents départements.
Configurer l'isolation lorsque les départements ont des exigences différentes en matière d'authentification, de plugins et d'autres paramètres.
Permettre aux utilisateurs de consulter le contenu public sans authentification.
Sélectionner une édition d'espace de travail
Managed Service for Grafana propose quatre éditions : Édition Pro (10 comptes), Édition Pro (30 comptes), Édition Pro (50 comptes) et Édition Avancée (100 comptes).
Sélectionner selon les fonctionnalités
L'Édition Avancée inclut des fonctionnalités telles que la génération de rapports et l'audit, indisponibles dans l'Édition Pro. Si vous avez besoin de ces fonctionnalités, choisissez l'Édition Avancée.
Sélectionner selon le nombre de comptes
-
Définissez le plus petit groupe d'utilisateurs nécessitant un accès.
Dans la plupart des cas, un seul espace de travail suffit. Toutefois, nous recommandons de créer des espaces de travail distincts pour chaque département ou équipe afin de garantir une isolation complète des autorisations ou des données dans les scénarios suivants :
Allocation des coûts : Pour facturer séparément le département A et le département B, utilisez un espace de travail distinct pour chacun.
Intégration OAuth : Si vous devez intégrer Grafana au système de comptes de votre entreprise via OAuth 2.0 et que chaque équipe se voit attribuer un AppID unique, utilisez un espace de travail distinct pour chaque équipe. En effet, une configuration OAuth personnalisée dans Grafana ne peut être mappée qu'à un seul AppID.
Isolation de l'environnement : Si vous exigez une séparation stricte de la sécurité des données et des autorisations utilisateur entre les environnements de production et de test, utilisez plusieurs espaces de travail pour les isoler.
-
Choisissez une édition correspondant à votre nombre d'utilisateurs.
Pour un département de 100 personnes, nous recommandons d'acheter l'Édition Avancée (100 comptes).
Pour une équipe de 20 personnes, choisissez l'Édition Pro (30 comptes).
Si vous disposez de 30 utilisateurs dans un environnement de développement et de 10 utilisateurs dans un environnement de production, achetez une Édition Pro (30 comptes) et une Édition Pro (10 comptes).
Si vous n'êtes pas certain de vos besoins, commencez par l'Édition Pro (10 comptes). Vous pourrez mettre à niveau ou rétrograder votre édition ultérieurement.
Configurer l'authentification
En plus de son système de gestion des utilisateurs intégré, Grafana prend en charge diverses autres méthodes d'authentification pour la synchronisation des comptes et la connexion. Pour plus d'informations, consultez la documentation officielle de Grafana.
Managed Service for Grafana étend ses capacités natives en intégrant les méthodes de connexion d'Alibaba Cloud. Le tableau suivant répertorie les méthodes d'authentification courantes disponibles dans Managed Service for Grafana. Vous pouvez utiliser plusieurs méthodes simultanément dans un seul espace de travail.
|
Type |
Scénario |
Description |
|
Gestion des utilisateurs avec un compte administrateur de serveur |
Créer des comptes et des mots de passe |
En tant qu'administrateur de serveur, accédez au menu administrateur de serveur dans l'interface utilisateur de Grafana pour créer directement des comptes, définir des mots de passe et accorder des autorisations. Vous pouvez également gérer les comptes intégrés via e-mail, Alibaba Cloud SSO, OAuth ou LDAP. |
|
Gestion des utilisateurs avec des autorisations d'administrateur d'organisation |
Inviter des utilisateurs par e-mail |
Les rôles d'administrateur de serveur et d'administrateur d'organisation ont des niveaux d'autorisation différents. En tant qu'administrateur d'organisation, vous ne verrez pas l'icône |
|
Alibaba Cloud SSO |
Se connecter avec un compte Alibaba Cloud |
Dans la , saisissez l'ID d'un compte Alibaba Cloud ou d'un utilisateur RAM pour activer la connexion avec ce compte. Si vous êtes connecté à la console Alibaba Cloud, vous pouvez accéder à Grafana sans avoir à vous reconnecter. Pour plus d'informations, consultez Gérer les comptes. |
|
OAuth |
S'intégrer à un système de connexion d'entreprise |
Managed Service for Grafana prend en charge le protocole OAuth standard. En plus de la prise en charge par défaut des connexions Google et Microsoft, Grafana permet des intégrations de connexion personnalisées pour s'intégrer à un système de connexion d'entreprise. Pour plus d'informations, consultez Utiliser OAuth pour se connecter à Grafana. |
|
LDAP |
S'intégrer à un système de connexion d'entreprise |
La console ne permet pas actuellement de télécharger des fichiers LDAP. Si vous avez besoin de cette fonctionnalité, fournissez vos commentaires en rejoignant le groupe DingTalk Managed Service for Grafana (ID : 34785590). |
|
Accès anonyme |
Permettre aux visiteurs de consulter sans se connecter |
Certains tableaux de bord peuvent devoir être affichés en externe, permettant aux utilisateurs de les consulter directement sans se connecter. Par exemple, le site officiel Grafana Play est un site de démonstration qui utilise l'accès anonyme. Pour obtenir des instructions sur la configuration de l'accès anonyme, consultez Générer un lien pour partager un tableau de bord Grafana. |
administrateur de serveur dans le volet de navigation de gauche et vous ne pourrez pas ajouter de comptes directement. À la place, invitez des utilisateurs en leur envoyant un e-mail contenant un lien pour créer leur propre compte. Les autorisations de l'utilisateur sont définies lors de l'envoi de l'invitation. La principale différence est qu'un administrateur d'organisation ne connaît pas les mots de passe des comptes qu'il crée. Gérer les autorisations
Grafana open source offre une variété de méthodes de gestion des autorisations suffisantes pour la plupart des scénarios. Outre l'approche recommandée par Grafana utilisant des dossiers et des équipes, vous pouvez également utiliser des organisations ou même des espaces de travail pour un contrôle des autorisations plus strict.
Comparaison des approches
Approche | Avantages | Limites |
Dossiers et équipes (Recommandé) |
| Manque de l'isolation réelle d'un espace de travail. |
Organisations | Vous n'avez besoin de configurer l'authentification qu'une seule fois. |
|
Espaces de travail | Chaque espace de travail possède sa propre base de données et ses propres fichiers de configuration indépendants, offrant une isolation réelle. | La configuration ne peut pas être partagée. La synchronisation des sources de données, des tableaux de bord, des dossiers et d'autres ressources entre les espaces de travail nécessite un code personnalisé. |
Bonnes pratiques pour les dossiers et les équipes
Prenons l'exemple d'une équipe en ligne au sein d'une entreprise :
L'entreprise dispose d'équipes de développement, d'O&M et d'exploitation. Elle utilise des dossiers pour séparer les ressources métier et infrastructure.
Le dossier métier contient des tableaux de bord métier basés sur les données collectées auprès des applications en cours d'exécution. Ceux-ci sont configurés par l'équipe de développement et consultés par l'équipe d'exploitation.
Le dossier infrastructure contient des tableaux de bord de surveillance pour l'infrastructure sur Alibaba Cloud, tels que ECS et RDS. Ceux-ci sont configurés par l'équipe O&M et consultés par l'équipe de développement.
Suivez ces étapes :
Dans le volet de navigation de gauche de Grafana, accédez à
> Configuration.Sur la page Configuration, cliquez sur l'onglet Teams. Utilisez le bouton New Team pour créer des équipes pour le développement, l'O&M et l'exploitation, puis ajoutez des membres à chaque équipe. Pour plus d'informations, consultez la documentation officielle de Grafana.
Dans le volet de navigation de gauche de Grafana, accédez à
> + New folder pour créer les dossiers métier et infrastructure. Pour plus d'informations, consultez la documentation officielle de Grafana.-
Configurez les autorisations des dossiers.
Accédez à un dossier et allez dans l'onglet Permissions pour ajouter des autorisations. Configurez le niveau d'autorisation pour chaque équipe dans le dossier actuel.
Les niveaux d'autorisation incluent View (consulter les tableaux de bord), Edit (ajouter, modifier et supprimer des tableaux de bord) et Admin (gérer les autorisations et les tableaux de bord). Sélectionnez l'équipe cible et le niveau d'autorisation, puis cliquez sur Save.
Après la configuration, les membres d'une équipe disposant uniquement de l'autorisation View ne peuvent que consulter les ressources.
RemarqueSi un utilisateur dispose individuellement des autorisations Admin mais appartient à une équipe qui ne possède que des autorisations View, l'autorisation de niveau supérieur est prioritaire. L'utilisateur conservera donc les autorisations Admin.