Azure Managed Grafana

解決する課題

Grafana は監視ダッシュボードの定番ですが、自前で運用するとバージョン更新・スケール・可用性・プラグイン管理を自分で抱えることになります。Azure Managed Grafana は、その運用負荷を Microsoft 側に寄せたうえで、Azure のデータソースや認証と最初からつながった状態で使えます。

• Grafana 本体のアップグレードや可用性確保を任せたい
• Azure Monitor や Prometheus など複数のデータソースを 1 枚のダッシュボードに重ねたい
• ログインや権限を Microsoft Entra ID と Azure RBAC に統一したい
• データソースへのアクセスを資格情報のハードコードなしで安全につなぎたい

オープンソースの Grafana と同じ操作感・同じダッシュボード資産を保ちながら、運用と Azure 連携の部分だけマネージドに置き換えるイメージです。AWS でいえば Amazon Managed Grafana に相当します。

主要概念と用語

• Grafana インスタンス（ワークスペース）: Managed Grafana の中核リソース。専用のエンドポイント URL を持ち、ダッシュボード・データソース・ユーザー権限の境界になる
• データソース: 可視化するデータの取得先。Azure Monitor、Azure Monitor Managed Service for Prometheus、Azure Data Explorer などを設定でき、外部の Prometheus などもつなげられる
• ダッシュボード / パネル: 時系列グラフや表などの可視化単位。JSON として保存・エクスポートでき、オープンソース Grafana と互換性がある
• Microsoft Entra ID 認証: サインインは Entra ID に統合され、ユーザーやグループ単位でアクセスを割り当てる
• Grafana ロール（Viewer / Editor / Admin）: Grafana 内での権限。Azure RBAC のロール割り当てを通じて Entra ID のユーザー/グループに対応づける
• マネージド ID: インスタンスに割り当てる ID。これに Azure Monitor などの読み取り権限を与えると、データソース接続が資格情報なしで成立する
• プラグイン: パネルやデータソースを拡張する追加機能。マネージドな範囲でサポートされるものを利用する
• ティア（プラン）: 機能や可用性の水準が異なる提供区分。可用性 SLA やゾーン冗長の扱いがプランで変わる

仕様・制限・クォータ

• インスタンスはリージョン リソースとして作成する。配置リージョンはダッシュボードの応答性や近接データソースとの関係で選ぶ
• アップグレードは Microsoft が管理し、Grafana のメジャー/マイナー更新やセキュリティ修正が適用される。利用者は本体パッチ作業から解放される
• プラグインは利用できる範囲が定義されている。任意の野良プラグインを無制限に持ち込めるわけではなく、サポート対象を前提に設計する
• 1 つのサブスクリプション/リージョンあたりに作成できるインスタンス数や、ダッシュボード・データソースの規模には上限がある。大規模利用ではクォータを事前確認する
• 可用性 SLA とゾーン冗長の扱いはプラン（ティア）に依存する。具体的な数値や対応リージョンは変動するため公式情報で確認する
• API キーやサービス アカウントによる自動化に対応するが、提供範囲はバージョンにより異なる

内部の仕組み

Managed Grafana は、オープンソースの Grafana エンジンを Microsoft がホストし、その前段に Microsoft Entra ID による認証を組み込んだ構成です。利用者は専用エンドポイントにブラウザでアクセスし、Entra ID でサインインします。

データの流れは、Grafana がデータソース（Azure Monitor、Managed Prometheus など）にクエリを発行し、結果をパネルに描画する形です。このとき、インスタンスに割り当てたマネージド ID がデータソース側の読み取り権限を持っていれば、接続文字列やトークンをダッシュボードに埋め込まずに済みます。Grafana 本体のバージョン更新・スケール・基盤の可用性確保はサービス側で担われ、利用者はダッシュボードとデータソースの設定に集中できます。

設計パターン / ベストプラクティス

• 既存ダッシュボードの移行: オープンソース Grafana の JSON をそのまま取り込み、データソース参照だけ Azure 向けに付け替える
• 横断可視化のハブ化: Azure Monitor メトリクス、Managed Prometheus、ログ由来の指標を 1 つのインスタンスに集約し、チーム共通の監視ハブにする
• 権限は Entra グループで管理: 個人ではなくグループに Grafana ロールを割り当て、入退室をグループ メンバーシップで統制する
• データ取得はマネージド ID 経由: データソースの資格情報をダッシュボードや変数に直接書かない
• 環境分離: 本番と検証でインスタンスやフォルダーを分け、誤操作の影響範囲を限定する

運用・監視

• ダッシュボードにデータが出ない → マネージド ID へのロール割り当て（対象スコープへの監視読み取り権限）と、データソース設定を確認する
• ログインできない → Entra ID 側のアクセス割り当てと、対応する Grafana ロールが付与されているかを確認する
• 表示が重い → クエリの時間範囲・解像度や、パネル数・リフレッシュ間隔を見直す
• 監査が必要 → コントロール プレーン操作は Azure のアクティビティ ログ、データソース側の利用は各サービスのログで追跡する

コスト

課金は主に**稼働するインスタンス（時間課金）と選択したプラン（ティア）**で発生します。ダッシュボードを多用するチームで 1 インスタンスを共有すると、1 人あたりのコスト効率が上がります。

セキュリティ

• 認証は Microsoft Entra ID に統合され、サインインを一元管理できる
• インスタンス内の権限は Grafana ロール（Viewer / Editor / Admin） を Azure RBAC で Entra のユーザー/グループに割り当てる
• データソース接続はマネージド ID を使い、資格情報のハードコードを避ける
• データは保存時に暗号化される。ネットワーク制限の要件があればプライベート接続の選択肢を検討する

関連サービス・比較

セルフホストの Grafana（自前で VM やコンテナに立てる構成）と比べると、運用責任の所在が大きく変わります。

ハンズオン / CLI例

# Managed Grafana 拡張を追加（初回のみ）
az extension add --name amg

# Grafana インスタンスを作成（システム割り当てマネージド ID 付き）
az grafana create \
  --name demo-grafana \
  --resource-group demo-rg \
  --location japaneast

# 作成したインスタンスのマネージド ID（principalId）を取得
az grafana show \
  --name demo-grafana \
  --resource-group demo-rg \
  --query "identity.principalId" -o tsv

# 取得した principalId に、対象スコープの監視読み取り権限を付与
az role assignment create \
  --assignee <principal-id> \
  --role "Monitoring Reader" \
  --scope "/subscriptions/<sub-id>/resourceGroups/demo-rg"

# エンドポイント URL を確認してブラウザで開く
az grafana show \
  --name demo-grafana \
  --resource-group demo-rg \
  --query "properties.endpoint" -o tsv