Роли и разрешения
Пользователь — это любой человек, который может войти в Grafana. Каждому пользователю сопоставлена роль, включающая разрешения. Разрешения определяют задачи, которые пользователь может выполнять в системе. Например, роль Admin включает разрешения администратора на создание и удаление пользователей.
Пользователю можно назначить один из трёх типов наборов разрешений:
- Разрешения администратора сервера Grafana для управления настройками и ресурсами всего сервера Grafana.
- Разрешения организации для управления доступом к дашбордам, алертам, плагинам, командам, плейлистам и другим ресурсам в масштабе всей организации. Доступные роли: Viewer, Editor и Admin.
- Разрешения на дашборды и папки для управления доступом к дашбордам и папкам. Подробное объяснение того, как папки работают в качестве основной границы разрешений, см. в разделе Управление доступом к папкам.
Note
Если вы используете Grafana Enterprise или Grafana Cloud, вы также можете управлять доступом к источникам данных и использовать управление доступом на основе ролей, чтобы предоставлять пользователям разрешения на чтение и запись для конкретных ресурсов Grafana.
Дополнительные сведения о возможностях управления доступом, доступных в Grafana Enterprise, см. в разделе Возможности разрешений пользователей в Grafana Enterprise.
Администраторы сервера Grafana
Администратор сервера Grafana (иногда называемый Grafana Admin) управляет настройками сервера и доступом к таким ресурсам, как организации, пользователи и лицензии. В Grafana есть администратор сервера по умолчанию, с помощью которого можно управлять всей Grafana, либо эти обязанности можно распределить между другими созданными вами администраторами сервера.
Caution
Роль администратора сервера отличается от роли администратора организации.
Администратор сервера может выполнять следующие задачи:
- Управлять пользователями и разрешениями
- Создавать, редактировать и удалять организации
- Просматривать настройки сервера, заданные в файле конфигурации
- Просматривать статистику сервера Grafana, включая общее число пользователей и активные сессии
- Обновлять сервер до Grafana Enterprise.
Note
Роль администратора сервера (Grafana Admin) не существует в Grafana Cloud.
Чтобы назначить или отозвать привилегии администратора сервера, см. Управление пользователями сервера.
Пользователи организации и разрешения
Все пользователи Grafana принадлежат как минимум одной организации. Организация — это сущность, существующая внутри вашего экземпляра Grafana.
Разрешения, назначенные пользователю внутри организации, определяют, в какой степени пользователь имеет доступ к следующим ресурсам организации и может их обновлять:
- Дашборды и папки
- Алерты
- Плейлисты
- Пользователи внутри этой организации
- Источники данных
- Команды
- Настройки организации и команд
- Плагины
- Аннотации
- Библиотечные панели
- Сервисные учётные записи
Дополнительные сведения об управлении пользователями организации см. в разделе Управление пользователями.
Роли организации
Caution
Если вы используете Grafana Cloud, служба поддержки Grafana не имеет права вносить какие-либо изменения в роли организации. Вместо этого обратитесь к администратору своей организации.
Разрешения на основе ролей организации являются глобальными: это означает, что каждый уровень разрешений применяется ко всем ресурсам Grafana в данной организации. Например, редактор может видеть и обновлять все дашборды в организации, если только доступ к этим дашбордам не был специально ограничен с помощью разрешений на дашборды.
Grafana использует следующие роли для управления доступом пользователей:
- Organization administrator: имеет доступ ко всем ресурсам организации, включая дашборды, пользователей и команды.
- Editor: может просматривать и редактировать дашборды, папки и плейлисты.
- Viewer: может просматривать дашборды, плейлисты и выполнять запросы к источникам данных.
- Basic Role: не имеет разрешений. При необходимости добавьте разрешения с помощью RBAC.
В следующей таблице перечислены разрешения для каждой роли.
Разрешения на дашборды
Когда требуется расширить возможности зрителя по редактированию и сохранению изменений дашборда или ограничить право редактора изменять дашборд, можно назначить разрешения на дашборды и папки. Например, может потребоваться, чтобы определённый зритель мог редактировать дашборд. Хотя этот пользователь может видеть все дашборды, вы можете предоставить ему доступ на обновление только одного из них.
Важно: разрешения на дашборды, которые вы указываете, имеют приоритет над разрешениями организации, назначенными пользователю для выбранной сущности.
Для дашбордов и папок можно указать следующие разрешения.
- Admin: может создавать, редактировать или удалять дашборд. Может редактировать или удалять папку, а также создавать дашборды и вложенные папки внутри папки. Администраторы также могут изменять разрешения на дашборды и папки.
- Edit: может создавать, редактировать или удалять дашборд. Может редактировать или удалять папку, а также создавать дашборды и вложенные папки внутри папки. Редакторы не могут изменять разрешения на папки или дашборды.
- View: может только просматривать дашборды и папки.
Важно: когда пользователь создаёт дашборд или папку на верхнем уровне, ему автоматически предоставляются права Admin на них. Это не относится к дашбордам внутри папки или к вложенным папкам.
Дополнительные сведения о назначении разрешений на папки дашбордов см. в разделе Предоставление разрешений на папки дашбордов.
Дополнительные сведения о назначении разрешений на дашборды см. в разделе Предоставление разрешений на дашборды.
Команды и разрешения
Команда — это группа пользователей внутри организации, имеющих общие потребности в разрешениях на дашборды и источники данных. Например, вместо того чтобы предоставлять пяти пользователям доступ к одному и тому же дашборду, можно создать команду из этих пользователей и назначить разрешения на дашборд команде. Пользователь может состоять в нескольких командах.
Участнику команды можно назначить одно из следующих разрешений:
- Member: включает пользователя в состав команды. Участники не имеют привилегий администратора команды.
- Admin: администраторы имеют право управлять различными аспектами команды, включая состав участников, разрешения и настройки.
Поскольку команды существуют внутри организации, администратор организации может управлять всеми командами.
Подробности об управлении командами см. в разделе Управление командами.
Возможности разрешений пользователей в Grafana Enterprise
Хотя Grafana OSS включает надёжный набор разрешений и настроек, которые можно использовать для управления доступом пользователей к ресурсам сервера и организации, вам может потребоваться больше возможностей.
Grafana Enterprise предоставляет следующие возможности, связанные с разрешениями:
- Разрешения на источники данных
- Управление доступом на основе ролей (RBAC)
Разрешения на источники данных
По умолчанию пользователь может выполнять запросы к любому источнику данных в организации, даже если этот источник данных не связан с дашбордами пользователя.
Разрешения на источники данных позволяют ограничить права на запросы к источникам данных для конкретных Users, Service Accounts и Teams. Дополнительные сведения о назначении разрешений на источники данных см. в разделе Разрешения на источники данных.
Управление доступом на основе ролей
RBAC предоставляет способ предоставления, изменения и отзыва доступа пользователей на чтение и запись к ресурсам Grafana, таким как пользователи, отчёты и аутентификация.
Дополнительные сведения о RBAC см. в разделе Управление доступом на основе ролей.
Дополнительные материалы
Хотите узнать больше? Пройдите руководство Create users and teams, чтобы научиться настраивать пользователей и команды.