跳到主要内容

认证机制设置

介绍​

Prometheus 是一个强大的开源监控和警报工具，广泛用于监控基础设施和应用程序的性能。然而，默认情况下，Prometheus 并不提供内置的认证机制，这意味着任何人都可以访问您的监控数据。为了确保数据的安全性，您需要配置认证机制来限制对 Prometheus 的访问。

本文将逐步介绍如何在 Prometheus 中设置认证机制，包括基本认证（Basic Authentication）和基于令牌的认证（Token-based Authentication）。我们还将通过实际案例展示如何在实际环境中应用这些认证机制。

基本认证（Basic Authentication）​

基本认证是一种简单的认证方式，它要求用户在访问 Prometheus 时提供用户名和密码。以下是配置基本认证的步骤：

1. 生成密码文件​

首先，您需要生成一个包含用户名和密码的文件。可以使用 htpasswd 工具来创建这个文件：

bash
htpasswd -c /etc/prometheus/.htpasswd myuser

这将提示您输入密码，并在 /etc/prometheus/.htpasswd 文件中存储用户名和加密后的密码。

2. 配置 Prometheus​

接下来，您需要在 Prometheus 的配置文件中启用基本认证。编辑 prometheus.yml 文件，添加以下内容：

yaml
basic_auth_users:
  myuser: $2y$05$xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

其中，$2y$05$xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx 是您生成的加密密码。

3. 重启 Prometheus​

保存配置文件后，重启 Prometheus 以应用更改：

bash
systemctl restart prometheus

现在，当您访问 Prometheus 的 Web UI 时，系统将提示您输入用户名和密码。

基于令牌的认证（Token-based Authentication）​

基于令牌的认证是一种更安全的认证方式，它使用令牌（Token）来验证用户的身份。以下是配置基于令牌的认证的步骤：

1. 生成令牌​

首先，您需要生成一个令牌。可以使用 openssl 工具来生成一个随机的令牌：

bash
openssl rand -hex 16

这将生成一个 32 字符的随机令牌。

2. 配置 Prometheus​

接下来，您需要在 Prometheus 的配置文件中启用基于令牌的认证。编辑 prometheus.yml 文件，添加以下内容：

yaml
authorization:
  credentials: "Bearer <your-token>"

将 <your-token> 替换为您生成的令牌。

3. 重启 Prometheus​

保存配置文件后，重启 Prometheus 以应用更改：

bash
systemctl restart prometheus

现在，当您访问 Prometheus 的 Web UI 时，您需要在请求头中包含 Authorization: Bearer <your-token> 才能成功访问。

实际案例​

假设您有一个运行在 Kubernetes 集群中的 Prometheus 实例，您希望限制对 Prometheus 的访问，只允许特定的服务账户访问。以下是实现这一目标的步骤：

1. 创建服务账户​

首先，在 Kubernetes 中创建一个服务账户：

yaml
apiVersion: v1
kind: ServiceAccount
metadata:
  name: prometheus-access

2. 生成令牌​

Kubernetes 会自动为服务账户生成一个令牌。您可以使用以下命令获取令牌：

bash
kubectl get secret $(kubectl get serviceaccount prometheus-access -o jsonpath='{.secrets[0].name}') -o jsonpath='{.data.token}' | base64 --decode

3. 配置 Prometheus​

在 Prometheus 的配置文件中，使用生成的令牌启用基于令牌的认证：

yaml
authorization:
  credentials: "Bearer <your-token>"

4. 重启 Prometheus​

保存配置文件后，重启 Prometheus 以应用更改：

bash
systemctl restart prometheus

现在，只有使用 prometheus-access 服务账户的 Pod 才能访问 Prometheus。

总结​

通过配置认证机制，您可以有效地保护 Prometheus 免受未经授权的访问。本文介绍了如何在 Prometheus 中设置基本认证和基于令牌的认证，并通过实际案例展示了如何在实际环境中应用这些认证机制。

附加资源​

练习​

  1. 尝试在本地环境中配置 Prometheus 的基本认证，并验证其是否生效。
  2. 在 Kubernetes 集群中创建一个服务账户，并使用生成的令牌配置 Prometheus 的基于令牌的认证。
  3. 探索其他认证机制，如 OAuth2，并尝试在 Prometheus 中实现。