3. Prometheus 原生认证机制：基础配置

Prometheus 在默认安装后，其 HTTP 服务并未启用任何认证或授权机制。任何能够访问该端口的客户端都可以直接查询指标、读取配置甚至触发重载。在生产环境中，必须通过原生启动参数对监听地址、外部访问路径和路由前缀进行基础加固，这是构建安全采集作业平台的第一步。

3.1 核心启动参数概览

Prometheus Server 通过以下三个命令行参数控制其 HTTP 服务的基础网络暴露面与路由结构：

3.2 --web.listen-address：绑定地址与端口隔离

该参数决定 Prometheus HTTP 服务在哪个网络接口和端口上监听。默认监听 0.0.0.0:9090 意味着所有网络接口（包括公网）均可访问。

安全配置原则

• 仅监听回环地址： 如果 Prometheus 与采集目标在同一主机，或仅通过本地反向代理转发，应设置为 127.0.0.1:9090，彻底阻断外部直接访问。
• 绑定内网专用接口： 若需跨主机访问，应绑定内网 IP（如 10.0.1.100:9090），避免绑定 0.0.0.0。
• 端口非标化： 将默认 9090 端口改为非标准高位端口（如 19090），可降低自动化扫描工具的命中概率。

# 安全示例：仅监听本地回环，使用非标端口
./prometheus --web.listen-address=127.0.0.1:19090

3.3 --web.external-url：外部访问 URL 的显式声明

当 Prometheus 部署在反向代理（Nginx、HAProxy）或负载均衡后方时，客户端实际访问的 URL 与 Prometheus 内部感知的 URL 可能不一致。该参数用于显式声明外部可访问的完整 URL，影响以下行为：

• 生成的重定向 Location 头（如 /graph 页面跳转）。
• 返回的 API 响应中的链接（如 /api/v1/targets 的 self 字段）。
• OAuth2 回调地址的构造。

配置示例

# 假设外部通过 https://prometheus.example.com/prom 访问
./prometheus \
  --web.external-url=https://prometheus.example.com/prom \
  --web.route-prefix=/prom

3.4 --web.route-prefix：路由前缀与路径隔离

该参数为 Prometheus 的所有 HTTP 路由（API、UI、静态资源）添加统一前缀。默认值为 /，即无前缀。设置非空前缀后，所有端点变为 /prefix/api/v1/...、/prefix/graph 等。

典型用途

• 多服务共用一个域名： 通过反向代理将不同路径转发到不同后端，如 /prom 指向 Prometheus，/grafana 指向 Grafana。
• 路径级访问控制： 在反向代理层对 /prom 前缀统一施加认证或 IP 白名单，无需逐个端点配置。
• 隐藏真实路径结构： 使用非预期前缀（如 /internal-metrics）增加攻击者路径探测难度。

# 设置路由前缀为 /monitor/prometheus
./prometheus \
  --web.route-prefix=/monitor/prometheus \
  --web.external-url=https://ops.example.com/monitor/prometheus

3.5 三参数协同关系与典型部署拓扑

下图展示了三个参数在典型反向代理部署模式下的协同工作方式：

3.6 参数配置清单与验证方法

以下清单可用于生产环境部署前的安全检查：