Защита Prometheus и Grafana, TLS, RBAC, аудит, security alerting
«Безопасность мониторинга — это безопасность всей системы»
Prometheus не имеет встроенного TLS. Используйте reverse proxy:
server {
listen 443 ssl;
server_name prometheus.example.com;
ssl_certificate /etc/ssl/certs/prometheus.crt;
ssl_certificate_key /etc/ssl/private/prometheus.key;
location / {
proxy_pass http://localhost:9090;
}
}# Docker Compose
oauth2-proxy:
image: quay.io/oauth2-proxy/oauth2-proxy
command:
- --provider=github
- --email-domain=example.com
- --upstream=http://prometheus:9090# htpasswd файл
htpasswd -c auth admin| Роль | Разрешения |
|---|---|
| Viewer | Просмотр дашбордов |
| Editor | Создание/редактирование дашбордов |
| Admin | Полный доступ |
# grafana.ini
[audit]
enabled = true- alert: FailedLoginSpike
expr: rate(grafana_login_failed_total[5m]) > 10
severity: warning
- alert: ConfigChanged
expr: changes(grafana_dashboards_total[5m]) > 0
severity: infoВопросы ещё не добавлены
Вопросы для этой подтемы ещё не добавлены.