Grafana: Benutzer, Rechte und Anmeldung mit Entra ID
Aus maxTechCorner
(Weitergeleitet von Grafana Entra ID)
Auf einen Blick
| Gilt für | Grafana 13.x (OSS bzw. kostenlose Enterprise-Edition); Anmeldung über Microsoft Entra ID (OAuth/OIDC), LDAP bzw. Active Directory; Rollen, Teams, Ordnerrechte, Dienstkonten |
|---|---|
| Bereich | Server-Software |
| Dauer | Rechtekonzept ca. 1 Stunde; Entra-ID-Anbindung ca. 30–60 Minuten |
| Rechte | Grafana-Serveradministrator; in Entra ID Anwendungsadministrator |
| Stand | Oktober 2026 |
Benutzer und Rechte in Grafana entscheiden, wer welche Dashboards sieht, wer Alarme ändert und wer Datenquellen mit Zugangsdaten verwalten darf. Für Unternehmen ist die Anmeldung über Microsoft Entra ID der einfachste Weg: ein Konto, Mehr-Faktor-Anmeldung über den bedingten Zugriff, Rollen direkt aus Entra ID. Diese Anleitung erklärt das Rechtemodell von Grafana, ein praxistaugliches Konzept mit Teams und Ordnern, die Einrichtung von Entra ID und LDAP sowie Dienstkonten für Automatisierung und Wandmonitore.
Das Rechtemodell von Grafana
| Ebene | Rechte |
|---|---|
| Grafana-Serveradministrator | ganze Instanz: Organisationen, alle Benutzer, Servereinstellungen – nur 1–2 Personen |
| Admin (Organisationsrolle) | Datenquellen, Plugins, Benutzer und Teams der Organisation, alle Dashboards |
| Editor | Dashboards und Alarmregeln anlegen und ändern, Explore nutzen |
| Viewer | Dashboards ansehen |
| Keine Basisrolle („None“) | Zugriff nur über ausdrücklich vergebene Ordner- oder Dashboardrechte |
- Ordner- und Dashboardrechte (Ansehen, Bearbeiten, Verwalten) lassen sich zusätzlich an Benutzer, Teams und Rollen vergeben – die eigentliche Feinsteuerung.
- Organisationen trennen Instanzbereiche vollständig (eigene Datenquellen, Benutzer, Dashboards), etwa für Mandanten. Für Abteilungen eines Unternehmens reichen meist Teams und Ordner.
- Explore erlaubt freie Abfragen auf alle Datenquellen der Organisation – Editoren können damit auch Daten sehen, die in keinem Dashboard stehen. Rechte auf Datenquellen gibt es nur in der lizenzierten Enterprise-Edition.
Schritt 1: Rechtekonzept mit Teams und Ordnern
| Ordner | Team | Recht |
|---|---|---|
| Infrastruktur (Server, Speicher) | Server-Team | Bearbeiten |
| Netzwerk (Switches, Firewall, WLAN) | Netzwerk-Team | Bearbeiten |
| Übersicht (Kennzahlen, Status) | Leitung, alle Mitarbeitenden der IT | Ansehen |
| Sicherheit (SIEM-Auswertungen) | Sicherheitsteam | Bearbeiten; andere kein Zugriff |
- Standardrolle neuer Benutzer: Viewer oder None; Editor nur für Personen, die Dashboards und Alarme pflegen.
- Ordnerrechte gelten auch für die Alarmregeln in diesem Ordner.
- Administration › Users and access › Teams anlegen; bei Entra ID bzw. LDAP lassen sich Team-Mitgliedschaften aus Gruppen synchronisieren (Team Sync ist eine Enterprise-Funktion mit Lizenz).
Schritt 2: Anmeldung mit Microsoft Entra ID
In Entra ID:
- App-Registrierungen › Neue Registrierung, Plattform Web, Umleitungs-URIs
https://grafana.firma.de/login/azureadundhttps://grafana.firma.de. - Geheimen Clientschlüssel anlegen (Ablaufdatum notieren) – oder ohne Geheimnis per Managed Identity bzw. Workload-Identitätsverbund, wenn Grafana in Azure läuft.
- Unter App-Rollen die Rollen mit den Werten Viewer, Editor, Admin und optional GrafanaAdmin anlegen.
- Unter Unternehmensanwendungen Zuweisung erforderlich aktivieren und Gruppen den App-Rollen zuweisen.
In Grafana (Umgebungsvariablen der Compose-Datei, siehe Grafana: Installation mit Docker Compose):
GF_AUTH_AZUREAD_ENABLED: "true"
GF_AUTH_AZUREAD_NAME: "Microsoft"
GF_AUTH_AZUREAD_ALLOW_SIGN_UP: "true"
GF_AUTH_AZUREAD_CLIENT_ID: "<Anwendungs-ID>"
GF_AUTH_AZUREAD_CLIENT_SECRET__FILE: /run/secrets/entra_secret
GF_AUTH_AZUREAD_SCOPES: "openid email profile"
GF_AUTH_AZUREAD_AUTH_URL: "https://login.microsoftonline.com/<Verzeichnis-ID>/oauth2/v2.0/authorize"
GF_AUTH_AZUREAD_TOKEN_URL: "https://login.microsoftonline.com/<Verzeichnis-ID>/oauth2/v2.0/token"
GF_AUTH_AZUREAD_ALLOWED_ORGANIZATIONS: "<Verzeichnis-ID>"
GF_AUTH_AZUREAD_ROLE_ATTRIBUTE_STRICT: "true"
GF_AUTH_AZUREAD_ALLOW_ASSIGN_GRAFANA_ADMIN: "true"
GF_AUTH_AZUREAD_USE_PKCE: "true"
role_attribute_strict: Benutzer ohne App-Rolle werden abgewiesen statt als Viewer angelegt.- Gruppenfilter: Statt über App-Rollen lässt sich der Zugang mit
allowed_groups(Objekt-IDs von Gruppen) beschränken; dafür in Entra ID den Anspruch groups hinzufügen. Bei mehr als 200 Gruppen pro Benutzer liefert Entra ID statt der Liste einen Hinweis („Overage“), den Grafana über Microsoft Graph auflösen muss. - Die Mehr-Faktor-Anmeldung erledigt Entra ID über Richtlinien für bedingten Zugriff.
- Nach erfolgreichem Test die lokale Anmeldemaske mit
GF_AUTH_DISABLE_LOGIN_FORM=trueausblenden; ein lokaler Notfall-Administrator bleibt bestehen. - Grundlagen: Entra ID, OpenID Connect.
Alternative: LDAP bzw. Active Directory
GF_AUTH_LDAP_ENABLED=trueund eineldap.tomlmit Server (LDAPS, Port 636), Bind-Konto mit Leserechten, Suchbasis und Gruppenzuordnung, z. B.CN=GG-Grafana-Admins,…→ Admin,CN=GG-Grafana-Editoren,…→ Editor.- Seit einigen Versionen lässt sich LDAP auch in der Oberfläche unter Authentication konfigurieren.
- LDAP prüft nur Passwörter; Mehr-Faktor-Anmeldung braucht dann einen vorgeschalteten Proxy oder SSO.
- Grundlagen: LDAP.
Dienstkonten, API und Wandmonitore
- Dienstkonten (Administration › Users and access › Service accounts) mit eigenem Token für Skripte, Terraform, CI-Pipelines und Git Sync – mit minimaler Rolle und Ablaufdatum; nie persönliche Konten oder das Admin-Passwort verwenden.
- Wandmonitore: Ein lokales Konto mit Rolle Viewer nur für den Monitor-Ordner, Anzeige im Kiosk-Modus (
?kiosk); Anmeldung „angemeldet bleiben“ statt anonymem Zugriff. - Öffentliche Dashboards (geteilte Links ohne Anmeldung) nur bewusst und ohne sensible Daten freigeben; die Funktion lässt sich instanzweit abschalten.
- Anonymer Zugriff und Selbstregistrierung bleiben aus (
GF_AUTH_ANONYMOUS_ENABLED=false,GF_USERS_ALLOW_SIGN_UP=false).
Hinweise
- Regelmäßig prüfen: Benutzer ohne Anmeldung seit Monaten, Dienstkonten-Token ohne Ablauf, Editoren ohne Bedarf.
- Prüfprotokoll: Wer was geändert hat, zeigen die Dashboard-Versionen; ein vollständiges Audit-Log gibt es in der lizenzierten Enterprise-Edition.
- Bei Anbindung an Microsoft Entra ID und Microsoft 365 unterstützt Sie das Team Microsoft 365 von m.a.x. it.
Siehe auch
- Grafana im Unternehmen – Überblick und alle Artikel der Reihe
- Grafana: Absichern, Backup und Updates
- Single Sign-On
- Zwei-Faktor-Authentifizierung
Links und Quellen
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
