IAM Identity Centerで新規作成したユーザーをAmazon Managde Grafanaで使用できるように設定する

はじめに

Organizations配下の子アカウントでAmazon Managed Grafana(以下Grafana)をIAM Identity Center(以下IdP)で認証している場合、
管理アカウントで新規作成したIdPユーザーにはアプリケーション(Grafana)を紐付ける必要があります。

これをしないとGrafana側で、あれ？ユーザー追加したのに表示されないぞ？となるので注意が必要です。
紐付けはIdP側ではなくGrafana側で設定する必要があることに注意しましょう。

新規ユーザー追加前の状態を確認

まずは検証前の状況を確認します。
イメージとしてはGrafanaをすでに運用している状態です。

子アカウントでGrafanaワークスペースが作成されており、ワークスペースのIdP認証は済んでいる状態です。

親アカウントでもIdPへアプリケーション(Grafana)は登録されている状態です。

IdPへのGrafanaの登録は、Grafana側でIdP認証を行った際に自動で登録されます。

ユーザー作成

上記の環境に新たにIdPユーザーを追加します。
今回はdemo_userという名前でユーザーを追加します。

ユーザーを追加すると設定したメールアドレス宛にパスワード設定のリンクが届きます。

パスワードを設定します。

再度、管理アカウントのIdPのユーザー一覧画面に戻ります。
新しく作成したdemo_userが追加されていますね。

この時点では新規作成したユーザーはGrafanaに紐づいていないため、Grafanaのユーザーとして使用することはできません。
ユーザーの詳細画面を確認すると、アプリケーションが紐づいていないことが分かります。

Grafanaでこのユーザーを使用するには、ここにアプリケーションを紐づける必要があります。

Grafanaでユーザー設定（紐付け）

Grafanaのコンソール画面で「ユーザーとユーザーグループの設定」をクリックします。

アクション > ユーザーを割り当てる を選択します。

一覧に先ほど作成したdemo_userがあるので、チェックを入れて「ユーザーとグループを割り当て」をクリックします。

demo_userがGrafanaのユーザーとして割り当てられていることが確認できますね。

この時、アクションよりユーザーの権限を変更することも可能です。
必要に応じて権限を変更しましょう。

では念の為ログインできることを確認します。
初回ログイン時にMFAの設定を求められるため、MFAも設定しましょう。

ログインが確認できました。

まとめ

GrafanaでIdP認証を使用している場合は、ユーザー追加ごとにアプリケーションの割り当てが必要になります。
アプリケーションが割り当てられているかはIdP側で確認できますが、割り当て操作自体はGrafanaで実施する必要があります。
ユーザーを追加したのに、あれ？ないぞ？なんでだ？となった場合はこのブログを参考にしてみてください。