Документацияbreadcrumb arrow Grafanabreadcrumb arrow Документация GlaberGraphbreadcrumb arrow Настройкаbreadcrumb arrow Настройка управления доступомbreadcrumb arrow Настройка провижининга SCIMbreadcrumb arrow Настройка SCIM с Entra ID

Настройка SCIM с Entra ID

Note

Доступно в Grafana Enterprise и Grafana Cloud.

В этом руководстве объясняется, как настроить провижининг SCIM с Entra ID для автоматизации управления пользователями и командами в Grafana.

Note

Важная конфигурация SAML и SCIM: При использовании SAML для аутентификации совместно с провижинингом SCIM с Entra ID критически важно правильно согласовать идентификаторы пользователей. Подробную информацию о том, почему это критично для безопасности и как это настроить, см. в основной документации по провижинингу SCIM.

Обратитесь к документации по аутентификации SAML с Entra ID за конкретными инструкциями о том, как настроить утверждения SAML и настройки SAML Grafana для вашей конфигурации Entra ID SCIM.

Предварительные условия

Перед настройкой SCIM с Entra ID убедитесь, что у вас есть:

  • Grafana Enterprise или платная учётная запись Grafana Cloud с включённым провижинингом SCIM.
  • Доступ администратора как к Grafana, так и к Entra ID
  • Функция SCIM, включённая в Grafana

Настройка SCIM в Grafana

Чтобы включить провижининг SCIM в Grafana, создайте сервисную учётную запись и сгенерируйте токен сервисной учётной записи, который будет использоваться для аутентификации запросов SCIM от Entra ID.

Создание сервисной учётной записи

  1. Перейдите в Administration > Users and access > Service accounts
  2. Нажмите Add service account
  3. Создайте сервисную учётную запись с именем (например, “SCIM provisioning”)
  4. В выпадающем списке Roles выберите следующие роли для сервисной учётной записи:
    • User administration — требуется для синхронизации пользователей (создание, чтение, обновление и удаление пользователей в организации)
    • Teams — требуется для синхронизации групп (создание, чтение, обновление и удаление команд, а также управление членством в командах)
  5. Создайте новый токен для сервисной учётной записи и сохраните его в надёжном месте. Этот токен будет использоваться в конфигурации Entra ID

Настройка SCIM в Entra ID

Настройте корпоративное приложение в Entra ID, чтобы включить автоматизированную синхронизацию пользователей и команд с Grafana. Это включает создание нового приложения и настройку как аутентификации, так и провижининга.

Создание корпоративного приложения

  1. Откройте Azure Portal Entra ID (Entra ID)
  2. Нажмите выпадающий список + Add
  3. Нажмите Add Enterprise Application
  4. Нажмите + Create Your Own Application
  5. Назовите приложение и выберите non-gallery

Настройка провижининга

  1. В обзоре приложения выберите Provisioning
  2. Нажмите + New Configuration
  3. Настройте следующие параметры:

  • Tenant URL:

    Вы можете скопировать URL тенанта непосредственно из интерфейса SCIM по адресу Administration > Authentication > SCIM. Ваш домен стека и ID стека также можно найти в интерфейсе SCIM.

    В качестве альтернативы вы можете создать URL вручную:

    • Для экземпляров Grafana Cloud: 
      https://{stack-name}.grafana.net/apis/scim.grafana.app/v0alpha1/namespaces/stacks-{stack-id}
      Замените {stack-name} и {stack-id} на имя и ID вашего стека Grafana Cloud.
    • Для самостоятельно размещённых экземпляров: 
      https://{your-grafana-domain}/apis/scim.grafana.app/v0alpha1/namespaces/default
      Замените {your-grafana-domain} на домен вашего экземпляра Grafana (например, grafana.yourcompany.com).

  • Secret Token: введите токен сервисной учётной записи из Grafana

  1. Нажмите Test connection, чтобы проверить конфигурацию
  2. Нажмите Create, чтобы сохранить настройки

Настройка сопоставлений атрибутов

После установки Tenant URL и Secret Token перейдите в раздел Mappings в тех же настройках Provisioning вашего корпоративного приложения Entra ID и затем нажмите Provision Microsoft Entra ID Users. Здесь вы определите, как атрибуты Entra ID соответствуют атрибутам SCIM для Grafana, включая обязательный externalId.

Note

  • Поддерживаются только рабочие адреса электронной почты. Entra ID должен быть настроен на использование emails[type eq "work"].value для сопоставления email.
  • Атрибут externalId в Grafana является обязательным. Entra ID использует его для однозначной идентификации пользователей и групп. Вы должны сопоставить атрибут из Entra ID с атрибутом externalId в Grafana. Этот атрибут Entra ID должен быть стабильным и уникальным идентификатором для каждого отдельного пользователя (например, атрибут objectId в Entra ID обычно используется для этой цели).

Настройте следующие обязательные атрибуты:

Атрибут Entra ID Атрибут Grafana
userPrincipalName userName
mail emails[type eq "work"].value
displayName displayName
objectId externalId
Switch([IsSoftDeleted], , "False", "True", "True", "False") active

Note

Во время провижининга, если провайдер идентификации отправляет атрибуты пользователя, которые не используются в Grafana, эти атрибуты будут корректно проигнорированы.

Включение провижининга

Нажмите Start provisioning на верхней панели действий на странице Overview вашего корпоративного приложения Entra ID.

Настройка провижининга групп

Чтобы включить синхронизацию групп:

  1. Перейдите на вкладку Groups в разделе провижининга
  2. Включите Group provisioning
  3. Выберите группы для синхронизации с Grafana
  4. Сохраните изменения

Тестирование интеграции

После завершения настройки:

  1. Протестируйте коннектор SCIM в Entra ID
  2. Назначьте тестового пользователя приложению
  3. Проверьте, что пользователь провижинен в Grafana
  4. Проверьте синхронизацию групп, если она настроена