Quelltext der Seite Grafana: Benutzer, Rechte und Anmeldung mit Entra ID

{{Steckbrief
| gilt_fuer   = Grafana 13.x (OSS bzw. kostenlose Enterprise-Edition); Anmeldung über Microsoft Entra ID (OAuth/OIDC), LDAP bzw. Active Directory; Rollen, Teams, Ordnerrechte, Dienstkonten
| bereich     = Server-Software
| dauer       = Rechtekonzept ca. 1 Stunde; Entra-ID-Anbindung ca. 30–60 Minuten
| rechte      = Grafana-Serveradministrator; in Entra ID Anwendungsadministrator
| stand       = Oktober 2026
}}
'''Benutzer und Rechte in Grafana''' entscheiden, wer welche Dashboards sieht, wer Alarme ändert und wer Datenquellen mit Zugangsdaten verwalten darf. Für Unternehmen ist die Anmeldung über '''Microsoft Entra ID''' der einfachste Weg: ein Konto, Mehr-Faktor-Anmeldung über den bedingten Zugriff, Rollen direkt aus Entra ID. Diese Anleitung erklärt das Rechtemodell von Grafana, ein praxistaugliches Konzept mit Teams und Ordnern, die Einrichtung von Entra ID und LDAP sowie Dienstkonten für Automatisierung und Wandmonitore.

[[Datei:Grafana-Benutzer.png|thumb|center|750px|Benutzer und Rechte in Grafana: Rollen Viewer, Editor und Admin je Organisation plus Grafana-Serveradministrator; Teams wie Netzwerk, Server, Leitung erhalten Rechte auf Ordner mit Dashboards und Alarmregeln; Anmeldung über Entra ID mit App-Rollen Viewer, Editor, Admin, GrafanaAdmin, Rücksprung /login/azuread, PKCE, Gruppenfilter allowed_groups; alternativ LDAP; Dienstkonten mit Token für API, Terraform und Git Sync; Wandmonitor mit Lesekonto; Registrierung und anonymer Zugriff aus.]]

== Das Rechtemodell von Grafana ==
{| class="wikitable"
! Ebene !! Rechte
|-
| '''Grafana-Serveradministrator''' || ganze Instanz: Organisationen, alle Benutzer, Servereinstellungen – nur 1–2 Personen
|-
| '''Admin''' (Organisationsrolle) || Datenquellen, Plugins, Benutzer und Teams der Organisation, alle Dashboards
|-
| '''Editor''' || Dashboards und Alarmregeln anlegen und ändern, Explore nutzen
|-
| '''Viewer''' || Dashboards ansehen
|-
| '''Keine Basisrolle''' („None“) || Zugriff nur über ausdrücklich vergebene Ordner- oder Dashboardrechte
|}
* '''Ordner- und Dashboardrechte''' (Ansehen, Bearbeiten, Verwalten) lassen sich zusätzlich an Benutzer, Teams und Rollen vergeben – die eigentliche Feinsteuerung.
* '''Organisationen''' trennen Instanzbereiche vollständig (eigene Datenquellen, Benutzer, Dashboards), etwa für Mandanten. Für Abteilungen eines Unternehmens reichen meist Teams und Ordner.
* '''Explore''' erlaubt freie Abfragen auf alle Datenquellen der Organisation – Editoren können damit auch Daten sehen, die in keinem Dashboard stehen. Rechte auf Datenquellen gibt es nur in der lizenzierten Enterprise-Edition.

== Schritt 1: Rechtekonzept mit Teams und Ordnern ==
{| class="wikitable"
! Ordner !! Team !! Recht
|-
| ''Infrastruktur'' (Server, Speicher) || Server-Team || Bearbeiten
|-
| ''Netzwerk'' (Switches, Firewall, WLAN) || Netzwerk-Team || Bearbeiten
|-
| ''Übersicht'' (Kennzahlen, Status) || Leitung, alle Mitarbeitenden der IT || Ansehen
|-
| ''Sicherheit'' (SIEM-Auswertungen) || Sicherheitsteam || Bearbeiten; andere kein Zugriff
|}
* Standardrolle neuer Benutzer: '''Viewer''' oder '''None'''; Editor nur für Personen, die Dashboards und Alarme pflegen.
* Ordnerrechte gelten auch für die Alarmregeln in diesem Ordner.
* ''Administration › Users and access › Teams'' anlegen; bei Entra ID bzw. LDAP lassen sich Team-Mitgliedschaften aus Gruppen synchronisieren (Team Sync ist eine Enterprise-Funktion mit Lizenz).

== Schritt 2: Anmeldung mit Microsoft Entra ID ==
'''In Entra ID:'''
# ''App-Registrierungen › Neue Registrierung'', Plattform ''Web'', Umleitungs-URIs <code><nowiki>https://grafana.firma.de/login/azuread</nowiki></code> und <code><nowiki>https://grafana.firma.de</nowiki></code>.
# Geheimen Clientschlüssel anlegen (Ablaufdatum notieren) – oder ohne Geheimnis per Managed Identity bzw. Workload-Identitätsverbund, wenn Grafana in Azure läuft.
# Unter ''App-Rollen'' die Rollen mit den Werten '''Viewer''', '''Editor''', '''Admin''' und optional '''GrafanaAdmin''' anlegen.
# Unter ''Unternehmensanwendungen'' ''Zuweisung erforderlich'' aktivieren und Gruppen den App-Rollen zuweisen.

'''In Grafana''' (Umgebungsvariablen der Compose-Datei, siehe [[Grafana: Installation mit Docker Compose]]):
<syntaxhighlight lang="yaml">
      GF_AUTH_AZUREAD_ENABLED: "true"
      GF_AUTH_AZUREAD_NAME: "Microsoft"
      GF_AUTH_AZUREAD_ALLOW_SIGN_UP: "true"
      GF_AUTH_AZUREAD_CLIENT_ID: "<Anwendungs-ID>"
      GF_AUTH_AZUREAD_CLIENT_SECRET__FILE: /run/secrets/entra_secret
      GF_AUTH_AZUREAD_SCOPES: "openid email profile"
      GF_AUTH_AZUREAD_AUTH_URL: "https://login.microsoftonline.com/<Verzeichnis-ID>/oauth2/v2.0/authorize"
      GF_AUTH_AZUREAD_TOKEN_URL: "https://login.microsoftonline.com/<Verzeichnis-ID>/oauth2/v2.0/token"
      GF_AUTH_AZUREAD_ALLOWED_ORGANIZATIONS: "<Verzeichnis-ID>"
      GF_AUTH_AZUREAD_ROLE_ATTRIBUTE_STRICT: "true"
      GF_AUTH_AZUREAD_ALLOW_ASSIGN_GRAFANA_ADMIN: "true"
      GF_AUTH_AZUREAD_USE_PKCE: "true"
</syntaxhighlight>
* '''<code>role_attribute_strict</code>''': Benutzer ohne App-Rolle werden abgewiesen statt als Viewer angelegt.
* '''Gruppenfilter''': Statt über App-Rollen lässt sich der Zugang mit <code>allowed_groups</code> (Objekt-IDs von Gruppen) beschränken; dafür in Entra ID den Anspruch ''groups'' hinzufügen. Bei mehr als 200 Gruppen pro Benutzer liefert Entra ID statt der Liste einen Hinweis („Overage“), den Grafana über Microsoft Graph auflösen muss.
* Die '''Mehr-Faktor-Anmeldung''' erledigt Entra ID über Richtlinien für bedingten Zugriff.
* Nach erfolgreichem Test die lokale Anmeldemaske mit <code>GF_AUTH_DISABLE_LOGIN_FORM=true</code> ausblenden; ein lokaler Notfall-Administrator bleibt bestehen.
* Grundlagen: [[Entra ID]], [[OpenID Connect]].

== Alternative: LDAP bzw. Active Directory ==
* <code>GF_AUTH_LDAP_ENABLED=true</code> und eine <code>ldap.toml</code> mit Server (LDAPS, Port 636), Bind-Konto mit Leserechten, Suchbasis und Gruppenzuordnung, z. B. <code>CN=GG-Grafana-Admins,…</code> → Admin, <code>CN=GG-Grafana-Editoren,…</code> → Editor.
* Seit einigen Versionen lässt sich LDAP auch in der Oberfläche unter ''Authentication'' konfigurieren.
* LDAP prüft nur Passwörter; Mehr-Faktor-Anmeldung braucht dann einen vorgeschalteten Proxy oder SSO.
* Grundlagen: [[LDAP]].

== Dienstkonten, API und Wandmonitore ==
* '''Dienstkonten''' (''Administration › Users and access › Service accounts'') mit eigenem Token für Skripte, Terraform, CI-Pipelines und Git Sync – mit minimaler Rolle und Ablaufdatum; nie persönliche Konten oder das Admin-Passwort verwenden.
* '''Wandmonitore''': Ein lokales Konto mit Rolle Viewer nur für den Monitor-Ordner, Anzeige im Kiosk-Modus (<code>?kiosk</code>); Anmeldung „angemeldet bleiben“ statt anonymem Zugriff.
* '''Öffentliche Dashboards''' (geteilte Links ohne Anmeldung) nur bewusst und ohne sensible Daten freigeben; die Funktion lässt sich instanzweit abschalten.
* '''Anonymer Zugriff''' und '''Selbstregistrierung''' bleiben aus (<code>GF_AUTH_ANONYMOUS_ENABLED=false</code>, <code>GF_USERS_ALLOW_SIGN_UP=false</code>).

== Hinweise ==
* '''Regelmäßig prüfen''': Benutzer ohne Anmeldung seit Monaten, Dienstkonten-Token ohne Ablauf, Editoren ohne Bedarf.
* '''Prüfprotokoll''': Wer was geändert hat, zeigen die Dashboard-Versionen; ein vollständiges Audit-Log gibt es in der lizenzierten Enterprise-Edition.
* Bei Anbindung an Microsoft Entra ID und Microsoft 365 unterstützt Sie das Team [https://www.max-it.de/it-services/microsoft-365/ Microsoft 365 von m.a.x. it].

== Siehe auch ==
* [[Grafana im Unternehmen]] – Überblick und alle Artikel der Reihe
* [[Grafana: Absichern, Backup und Updates]]
* [[Single Sign-On]]
* [[Zwei-Faktor-Authentifizierung]]

== Links und Quellen ==
* [https://grafana.com/docs/grafana/latest/setup-grafana/configure-access/configure-authentication/entraid/ Grafana-Dokumentation: Configure Entra ID OAuth authentication]
* [https://www.max-it.de/it-services/microsoft-365/ Microsoft 365 von m.a.x. it]

{{Uebermax}}
[[Kategorie:Server-Software]]