跳到主要内容

用户身份认证

在 Grafana 中，用户身份认证是确保只有授权用户可以访问仪表盘和数据的关键功能。通过身份认证，Grafana 可以验证用户的身份，并根据其权限控制对资源的访问。本文将详细介绍 Grafana 的用户身份认证机制，包括内置认证、外部认证提供程序（如 OAuth、LDAP 等）以及如何配置这些功能。

什么是用户身份认证？​

用户身份认证是验证用户身份的过程，确保只有合法用户可以访问系统。在 Grafana 中，身份认证通常涉及用户名和密码的验证，但也支持更复杂的认证方式，如 OAuth、LDAP 和 SAML。通过身份认证，Grafana 可以确保只有经过授权的用户才能查看或编辑仪表盘、数据源和其他资源。

Grafana 的内置身份认证​

Grafana 提供了内置的身份认证系统，允许用户通过用户名和密码登录。默认情况下，Grafana 使用 SQLite 数据库存储用户凭据。以下是配置内置身份认证的步骤：

  1. 启用内置身份认证
    在 grafana.ini 配置文件中，确保以下设置已启用：

    ini
    [auth]
    disable_login_form = false

  2. 创建用户
    通过 Grafana 的管理界面或 API 创建用户。例如，使用以下 API 请求创建新用户：

    bash
    curl -X POST http://localhost:3000/api/admin/users \
    -H "Content-Type: application/json" \
    -d '{"name":"John Doe","email":"[email protected]","login":"johndoe","password":"securepassword"}'

  3. 用户登录
    用户可以通过 Grafana 的登录页面输入用户名和密码进行登录。

备注

内置身份认证适用于小型团队或个人使用。对于大型团队或企业环境，建议使用外部认证提供程序。

外部身份认证提供程序​

Grafana 支持多种外部身份认证提供程序，包括 OAuth、LDAP 和 SAML。这些提供程序允许用户使用现有的企业身份管理系统进行登录。

OAuth 认证​

OAuth 是一种广泛使用的开放标准，允许用户使用第三方服务（如 Google、GitHub 或 Azure AD）进行身份认证。以下是配置 OAuth 的步骤：

  1. 配置 OAuth 提供程序
    在 grafana.ini 中配置 OAuth 提供程序。例如，配置 GitHub OAuth：

    ini
    [auth.github]
    enabled = true
    client_id = your_client_id
    client_secret = your_client_secret
    scopes = user:email
    auth_url = https://github.com/login/oauth/authorize
    token_url = https://github.com/login/oauth/access_token
    api_url = https://api.github.com/user

  2. 用户登录
    用户可以通过点击“使用 GitHub 登录”按钮进行登录。

提示

OAuth 认证适用于需要与第三方服务集成的场景，例如使用 GitHub 或 Google 账户登录。

LDAP 认证​

LDAP（轻量级目录访问协议）是一种用于访问和维护分布式目录信息服务的协议。Grafana 支持通过 LDAP 进行身份认证，适用于企业环境。

  1. 配置 LDAP
    在 grafana.ini 中配置 LDAP 设置：

    ini
    [auth.ldap]
    enabled = true
    config_file = /etc/grafana/ldap.toml

  2. 创建 LDAP 配置文件
    在 /etc/grafana/ldap.toml 中定义 LDAP 服务器和用户映射：

    toml
    [[servers]]
    host = "ldap.example.com"
    port = 389
    bind_dn = "cn=admin,dc=example,dc=com"
    bind_password = "adminpassword"
    search_filter = "(cn=%s)"
    search_base_dns = ["dc=example,dc=com"]

  3. 用户登录
    用户可以通过输入 LDAP 用户名和密码进行登录。

警告

确保 LDAP 服务器的连接是安全的，避免使用未加密的连接。

实际应用场景​

场景 1：企业内部监控系统​

在一家大型企业中，IT 部门使用 Grafana 监控服务器和应用程序的性能。为了确保只有授权员工可以访问监控数据，IT 部门配置了 LDAP 认证，使员工可以使用公司内部的 Active Directory 账户登录 Grafana。

场景 2：开源项目仪表盘​

一个开源项目使用 Grafana 展示项目的实时数据。为了简化用户登录流程，项目团队配置了 GitHub OAuth 认证，使贡献者可以使用他们的 GitHub 账户登录 Grafana。

总结​

用户身份认证是 Grafana 中确保数据安全和访问控制的重要功能。通过内置认证或外部认证提供程序（如 OAuth 和 LDAP），Grafana 可以灵活地满足不同场景的需求。无论是小型团队还是大型企业，都可以通过配置适当的身份认证机制来保护其数据。

附加资源​

练习​

  1. 在本地 Grafana 实例中启用内置身份认证，并创建一个新用户。
  2. 配置 GitHub OAuth 认证，并使用 GitHub 账户登录 Grafana。
  3. 尝试配置 LDAP 认证（如果有 LDAP 服务器可用），并测试用户登录。