teliaoss/grafana-aws-env

Grafana

![构建状态]([] ![]([]

镜像概述和主要用途

该Terraform模块用于在AWS的Fargate ECS集群中部署Grafana，是官方Grafana Docker镜像的包装版本。其核心功能是从AWS SSM（Systems Manager）参数存储拉取密钥和配置参数，实现安全的配置管理，适用于在AWS环境中快速部署具有安全认证和多账户监控能力的Grafana实例。

核心功能和特性

• 安全参数管理：通过SSM参数存储获取敏感配置（如管理员凭证、GitHub OAuth密钥），避免硬编码
• GitHub OAuth集成：支持通过GitHub组织成员身份进行身份验证
• Fargate部署：基于AWS Fargate的无服务器架构，无需管理EC2实例
• SSL支持：需配合Route53区域和通配符证书实现HTTPS访问
• 跨账户监控：可配置访问其他AWS账户的CloudWatch指标

使用场景和适用范围

• AWS云环境下的监控系统部署
• 需要集中管理多个AWS账户CloudWatch指标的场景
• 要求安全存储敏感配置信息的企业级监控平台搭建
• 希望使用无服务器架构减少基础设施管理成本的团队

使用方法和配置说明

前提条件

部署前需确保AWS账户已满足：

• 已创建Route53区域
• 已拥有该区域的通配符SSL证书

部署步骤

1. 创建环境文件夹 <your_environment>
2. 在该文件夹下创建 init 子文件夹
3. 在 init 子文件夹中编写Terraform脚本，使用 modules/init 子模块，运行一次以创建用于加密参数的密钥和随机凭证
4. 记录上一步输出的 parameters_key_arn
5. 创建以下SSM参数（类型设为"secure-string"，使用步骤3创建的密钥加密，将 <name_prefix> 替换为init模块和主模块使用的名称前缀）：
   • /*<name_prefix>*/github-auth-enabled（设为true启用GitHub OAuth）
   • /*<name_prefix>*/github-client-id（GitHub OAuth应用的客户端ID）
   • /*<name_prefix>*/github-client-secret（GitHub OAuth应用的客户端密钥）
   • /*<name_prefix>*/github-allowed-organisations（允许登录的GitHub组织列表）
   • /*<name_prefix>*/admin-user-password（初始管理员用户密码）
   • /*<name_prefix>*/admin-user-name（初始管理员用户名）
6. 在 <your_environment> 文件夹中编写使用主模块的Terraform脚本，将步骤4记录的 parameters_key_arn 作为参数传入
7. 配置正确的Route53区域和Web证书ARN
8. 运行 terraform apply 部署Grafana

跨账户CloudWatch访问配置

如需Grafana监控其他AWS账户的CloudWatch指标，需在目标账户中创建IAM角色并附加 CloudWatchReadOnlyAccess 策略，允许Grafana所在账户的任务角色 assume 该角色。

以下是在目标账户中运行的Terraform脚本（替换 <grafana_aws_account> 和 <name-prefix>）：

hcl
resource "aws_iam_role" "grafana-machine-user" {
  name               = "machine-user-grafana"
  assume_role_policy = "${data.aws_iam_policy_document.grafana-machine-user.json}"
}

data "aws_iam_policy_document" "grafana-machine-user" {
  statement {
    effect  = "Allow"
    actions = ["sts:AssumeRole"]

    principals {
      identifiers = [
        "arn:aws:iam::<grafana_aws_account>:role/<name-prefix>-task-role",
      ]

      type = "AWS"
    }
  }
}

resource "aws_iam_role_policy_attachment" "grafana-machine-user" {
  role       = "${aws_iam_role.grafana-machine-user.name}"
  policy_arn = "arn:aws:iam::aws:policy/CloudWatchReadOnlyAccess"
}

示例

• 简单示例

维护者

当前由https://github.com/telia-oss/terraform-aws-grafana/graphs/contributors%E7%BB%B4%E6%8A%A4%E3%80%82

许可证

MIT许可证。详见LICENSE。