使用 TLS 加密保护 Prometheus API 和 UI 端点

Prometheus 支持 Transport Layer Security（TLS）加密来保护到 Prometheus 实例的连接（即到表达式浏览器或 HTTP API）。如果你想对这些连接强制使用 TLS，你需要创建一个特定的 web 配置文件。

NOTE: 本指南介绍的是连接到 Prometheus 实例的 TLS。Prometheus 也支持从 Prometheus 实例连接到抓取目标时使用 TLS。

前提条件

假设你已经有一个 Prometheus 实例在运行，并且想要对其进行调整。本指南不会涵盖 Prometheus 的初始设置。

假设你想要运行一个使用 TLS 提供服务的 Prometheus 实例，可通过 example.com 域名访问（你拥有该域名）。

还假设你已经使用 OpenSSL 或类似工具生成了以下文件：

• SSL 证书位于 /home/prometheus/certs/example.com/example.com.crt
• SSL 密钥位于 /home/prometheus/certs/example.com/example.com.key

你可以使用以下命令生成自签名证书和私钥：

mkdir -p /home/prometheus/certs/example.com && cd /home/prometheus/certs/certs/example.com
openssl req \
  -x509 \
  -newkey rsa:4096 \
  -nodes \
  -keyout example.com.key \
  -out example.com.crt

在提示中填写适当的信息，并确保在 Common Name 提示处输入 example.com。

Prometheus 配置

以下是一个 web-config.yml 配置文件示例。使用此配置，Prometheus 将在 TLS 后面提供所有端点服务。

tls_server_config:
  cert_file: /home/prometheus/certs/example.com/example.com.crt
  key_file: /home/prometheus/certs/example.com/example.com.key

要使 Prometheus 使用此配置，你需要使用 --web.config.file 标志调用它。

prometheus \
  --config.file=/path/to/prometheus.yml \
  --web.config.file=/path/to/web-config.yml \
  --web.external-url=https://example.com/

--web.external-url= 标志在这里是可选的。

测试

如果你想使用 example.com 域名在本地测试 TLS，可以在 /etc/hosts 文件中添加一个条目，将 example.com 重新路由到 localhost：

127.0.0.1     example.com

然后你可以使用 cURL 与你本地的 Prometheus 配置进行交互：

curl --cacert /home/prometheus/certs/example.com/example.com.crt \
  https://example.com/api/v1/label/job/values

你也可以使用 --insecure 或 -k 标志在不指定证书的情况下连接到 Prometheus 服务器：

curl -k https://example.com/api/v1/label/job/values