このトピックでは、Grafana インスタンスの整理方法について、ワークスペースの選択、アカウント認証、および権限管理を中心に説明します。
背景情報
Grafana には、リソースと権限を整理するための複数の方法があります。複数のチーム、部署、または顧客が同じインスタンスを使用する場合、次のような課題に直面する可能性があります。
ニーズに適した Grafana エディションの選択方法
部署 A が部署 B の情報を閲覧できないようにアカウントを割り当て、権限を管理する方法
異なる部署のコスト配分と課金の処理方法
部署ごとに認証、プラグイン、その他の設定に異なる要件がある場合の分離設定方法
認証なしでユーザーが公開コンテンツを閲覧できるようにする方法
ワークスペースエディションの選択
Managed Service for Grafana は、Pro Edition (10 アカウント)、Pro Edition (30 アカウント)、Pro Edition (50 アカウント)、および Advanced Edition (100 アカウント) の 4 つのエディションを提供しています。
機能による選択
Advanced Edition には、Pro Edition では利用できないレポーティングや監査などの機能が含まれています。これらの機能が必要な場合は、Advanced Edition を選択してください。
アカウント数による選択
アクセスが必要な最小のユーザーグループを定義します。
ほとんどの場合、1 つのワークスペースですべてのユーザーのニーズを満たすことができます。ただし、次のシナリオでは、権限またはデータの完全な分離を確保するために、部署またはチームごとに個別のワークスペースを作成することを推奨します。
コスト配分：部署 A と部署 B を個別に課金するには、それぞれに個別のワークスペースを使用します。
OAuth 連携：OAuth 2.0 を使用して Grafana を社内のアカウントシステムと連携する必要があり、各チームに固有の AppID が割り当てられている場合は、チームごとに個別のワークスペースを使用します。これは、Grafana のカスタム OAuth 設定が単一の AppID にのみマッピングできるためです。
環境分離：本番環境とテスト環境の間でデータセキュリティとユーザー権限の厳格な分離が必要な場合は、複数のワークスペースを使用してそれらを分離します。
ユーザー数に合ったエディションを選択します。
100 人の部署の場合、Advanced Edition (100 アカウント) の購入を推奨します。
20 人のチームの場合、Pro Edition (30 アカウント) を選択できます。
開発環境に 30 人のユーザーがおり、本番環境に 10 人のユーザーがいる場合、Pro Edition (30 アカウント) を 1 つと Pro Edition (10 アカウント) を 1 つ購入できます。
要件が不明な場合は、Pro Edition (10 アカウント) から始めることができます。後でエディションをアップグレードまたはダウングレードすることができます。
認証の設定
Grafana は、組み込みのユーザー管理システムに加えて、アカウント同期とログインのためのさまざまな認証方法をサポートしています。詳細については、Grafana 公式ドキュメントをご参照ください。
Managed Service for Grafana は、Alibaba Cloud のログイン方法を統合することで、ネイティブ機能を拡張しています。次の表は、Managed Service for Grafana で利用可能な一般的な認証方法を示しています。1 つのワークスペースで複数の方法を同時に使用できます。
タイプ | シナリオ | 説明 |
サーバー管理者アカウントによるユーザー管理 | アカウントとパスワードの作成 | サーバー管理者として、Grafana UI のサーバー管理者メニューにアクセスして、アカウントを直接作成し、パスワードを設定し、権限を付与できます。また、メール、Alibaba Cloud SSO、OAuth、または LDAP を通じて連携されたアカウントを管理することもできます。 |
組織管理者権限によるユーザー管理 | メールによるユーザーの招待 | サーバー管理者と組織管理者のロールでは、権限レベルが異なります。 組織管理者には、左側のナビゲーションペインにサーバー管理者の |
Alibaba Cloud SSO | Alibaba Cloud アカウントでのログイン | Grafana サービスマネージドコンソールでは、Alibaba Cloud アカウントまたは RAM ユーザーの ID を入力して、そのアカウントでのログインを有効にできます。 Alibaba Cloud コンソールにログインしている場合、再ログインせずに Grafana にアクセスできます。 詳細については、「アカウントの管理」をご参照ください。 |
OAuth | 企業ログインシステムとの連携 | Managed Service for Grafana は、標準の OAuth プロトコルをサポートしています。デフォルトでサポートされている Google や Microsoft のログインに加えて、Grafana では、カスタムログイン連携により企業のログインシステムと統合できます。詳細については、「OAuth を使用して Grafana にログオンする」および「」をご参照ください。 |
LDAP | 企業ログインシステムとの連携 | 現在、コンソールでは LDAP ファイルのアップロードはできません。この機能が必要な場合は、Managed Service for Grafana DingTalk グループ (ID: 34785590) に参加してフィードバックをお寄せください。 |
匿名アクセス | ログインなしでの訪問者による閲覧の許可 | 一部のダッシュボードは、ユーザーがログインせずに直接閲覧できるよう、外部に表示することが必要になる場合があります。 たとえば、Grafana Play 公式サイトは、匿名アクセスを使用するデモサイトです。 匿名アクセスを設定する手順については、「Grafana ダッシュボードを共有するリンクを生成する」をご参照ください。 |
アイコンが表示されず、アカウントを直接追加することはできません。 代わりに、ユーザー自身がアカウントを作成するためのリンクを含む E メールを送信して、ユーザーを招待できます。 ユーザーの権限は、招待の送信時に設定されます。 主な違いは、組織管理者は自身が作成したアカウントのパスワードを知らないという点です。 権限管理
オープンソースの Grafana は、ほとんどのシナリオに十分な、さまざまな権限管理方法を提供しています。Grafana が推奨するフォルダーとチームを使用する方法に加えて、より厳格な権限制御のために組織やワークスペースを使用することもできます。
アプローチの比較
アプローチ | 利点 | 制限 |
フォルダーとチーム (推奨) |
| ワークスペースの真の分離が欠けています。 |
組織 | 認証を一度だけ設定すればよいです。 |
|
ワークスペース | 各ワークスペースには独自の独立したデータベースと設定ファイルがあり、真の分離を実現します。 | 設定を共有できません。ワークスペース間でデータソース、ダッシュボード、フォルダー、およびその他のリソースを同期するには、カスタムコードが必要です。 |
フォルダーとチームのベストプラクティス
ある企業のオンラインチームの例を考えてみましょう。
この企業には、開発、運用保守、およびオペレーションのチームがあります。フォルダーを使用して、ビジネスとインフラストラクチャのリソースを分離しています。
ビジネスフォルダーには、実行中のアプリケーションから収集されたデータに基づくビジネスダッシュボードが含まれています。これらは開発チームによって設定され、オペレーションチームによって閲覧されます。
インフラストラクチャフォルダーには、ECS や RDS などの Alibaba Cloud 上のインフラストラクチャのモニタリングダッシュボードが含まれています。これらは運用保守チームによって設定され、開発チームによって閲覧されます。
次の手順に従ってください。
Grafana の左側メニューで、
> 設定 を選択します。[設定] ページで、[チーム] タブをクリックします。[New Team] ボタンを使用して、開発、運用保守、およびオペレーションのチームを作成し、各チームにメンバーを追加します。詳細については、Grafana 公式ドキュメントをご参照ください。
Grafana の左側メニューで、
> + New folder を選択して、ビジネスフォルダーとインフラストラクチャフォルダーを作成します。詳細については、Grafana 公式ドキュメントをご参照ください。フォルダー権限を設定します。
フォルダーに移動し、[権限] タブに移動して権限を追加します。現在のフォルダー内の各チームの権限レベルを設定します。
権限レベルには、[表示] (ダッシュボードの表示)、[編集] (ダッシュボードの追加、編集、削除)、および [管理者] (権限とダッシュボードの管理) が含まれます。対象のチームと権限レベルを選択し、[保存] をクリックします。
設定後、表示権限のみを持つチームのメンバーは、リソースを表示することしかできません。
説明ユーザーが個別に管理者権限を持っているが、表示権限のみを持つチームに属している場合、上位レベルの権限が優先されます。ユーザーは引き続き管理者権限を持ちます。