4、启用 Basic Auth：使用 bcrypt 生成密码哈希、配置 web.yml 文件、重启 Prometheus 使配置生效

Basic Auth 是 Prometheus 2.24+ 版本内置的最轻量级认证方案。它通过 HTTP 请求头中的 Authorization: Basic <base64> 传递用户名与密码，服务端使用 bcrypt 哈希进行比对。本节将完整演示从密码生成、配置文件编写到服务重启的全流程。

4.1 整体流程概览

下图展示了启用 Basic Auth 的完整操作链路：

4.2 使用 bcrypt 生成密码哈希

Prometheus 要求密码哈希必须使用 bcrypt 算法。推荐使用 htpasswd 工具（Apache 发行版）或 Python 的 bcrypt 库生成。

4.2.1 方法一：使用 htpasswd（推荐）

安装 htpasswd：

# CentOS / RHEL
sudo yum install -y httpd-tools

# Ubuntu / Debian
sudo apt-get install -y apache2-utils

# macOS（已预装）
# 无需额外安装

生成 bcrypt 哈希密码：

# -B 强制使用 bcrypt 算法，-c 创建新文件
htpasswd -nB admin

# 输出示例：
# admin:$2y$05$xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

# 如果只需要哈希值（不含用户名），使用 -b 参数：
htpasswd -nbB admin YourStrongPassword! | cut -d: -f2

4.2.2 方法二：使用 Python bcrypt 库

适用于自动化脚本或 CI/CD 场景：

# 安装 bcrypt 库
pip install bcrypt

# 生成哈希
python3 -c "
import bcrypt
password = b'YourStrongPassword!'
salt = bcrypt.gensalt(rounds=10)
hashed = bcrypt.hashpw(password, salt)
print(hashed.decode())
"

4.2.3 方法三：使用 openssl（不推荐）

4.3 配置 web.yml 文件

在 Prometheus 配置目录（通常为 /etc/prometheus）下创建 web.yml 文件：

# /etc/prometheus/web.yml
basic_auth_users:
  admin: $2y$05$xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
  readonly: $2y$05$yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy

配置文件结构说明：

4.4 验证配置语法

在重启之前，使用 promtool 验证 web.yml 语法：

# 检查 web.yml 语法
promtool check web-config /etc/prometheus/web.yml

# 成功输出示例：
# web/config OK

4.5 重启 Prometheus 服务

根据部署方式选择重启命令：

# systemd 管理（推荐）
sudo systemctl restart prometheus
sudo systemctl status prometheus

# 直接启动（开发环境）
kill -HUP $(pgrep prometheus)   # 优雅重载配置
# 或
pkill prometheus && prometheus --config.file=/etc/prometheus/prometheus.yml --web.config.file=/etc/prometheus/web.yml

4.6 验证 Basic Auth 生效

重启后，使用 curl 测试认证是否生效：

# 不带认证信息（应返回 401）
curl -v http://localhost:9090/metrics 2>&1 | grep "HTTP/"
# 输出：HTTP/1.1 401 Unauthorized

# 带正确认证信息（应返回 200）
curl -u admin:YourStrongPassword! http://localhost:9090/metrics -o /dev/null -w "%{http_code}"
# 输出：200

# 带错误密码（应返回 401）
curl -u admin:wrongpassword http://localhost:9090/metrics -o /dev/null -w "%{http_code}"
# 输出：401

4.7 多用户配置示例

实际生产环境中通常需要多个用户：

# /etc/prometheus/web.yml
basic_auth_users:
  # 管理员：拥有全部权限
  admin: $2y$05$xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
  # 只读用户：仅能查询指标
  readonly: $2y$05$yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy
  # 监控系统：用于 Prometheus 之间的联邦采集
  federate: $2y$05$zzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzz

用户权限对照表：

4.8 常见问题排查