DEV Community
·
在Kubernetes上使用GCP IAP、Gateway API和Terraform安全部署Grafana
💡
原文英文，约800词，阅读约需3分钟。
📝
内容提要
本文介绍了如何在Kubernetes上安全部署Grafana，使用GCP IAP、Gateway API和Terraform，降低CVE风险，实现细粒度访问控制，防止DDoS攻击。尽管Grafana API使用复杂，但可通过内部网络或临时端口转发解决。配置OAuth同意屏幕和Grafana后，使用Helm部署，并通过Gateway实现灵活路由，最后确保通过GCP IAP登录Grafana。
🎯
关键要点
- 本文介绍如何在Kubernetes上安全部署Grafana，使用GCP IAP、Gateway API和Terraform。
- 该设置有助于降低CVE风险，实现细粒度访问控制，防止DDoS攻击。
- 所有流量通过GCP IAP路由，降低Grafana CVE风险。
- IAP支持上下文感知访问，允许限制访问到受信设备、位置、网络和组。
- Grafana API使用变得复杂，需通过IAP进行请求。
- 可以通过内部网络连接工具或使用临时Kubernetes端口转发解决API复杂性。
- 配置OAuth同意屏幕是手动完成的，每个GCP项目只需一次。
- 使用Helm部署Grafana，并配置相关的数据库和用户设置。
- Grafana Helm图表目前对Gateway路由支持有限，需要部署额外的Gateway Helm图表。
- GCP BackendPolicy添加IAP支持，OAuth客户端在Terraform中创建并传递给Gateway Helm图表。
- 需要将适当的主体附加到动态创建的Backend Service以授予访问权限。
- 在浏览器中打开Grafana，使用GCP IAP登录，如果访问不立即生效，需等待权限传播。
- 可以临时禁用Gateway路由以进行管理员登录，完成后恢复Gateway路由以安全使用Grafana。
❓
延伸问答
如何在Kubernetes上安全部署Grafana？
可以通过使用GCP IAP、Gateway API和Terraform来安全部署Grafana，降低CVE风险并实现细粒度访问控制。
GCP IAP在Grafana部署中有什么作用？
GCP IAP负责路由所有流量，降低Grafana的CVE风险，并支持上下文感知访问控制。
如何解决Grafana API使用中的复杂性？
可以通过内部网络连接工具或使用临时Kubernetes端口转发来解决Grafana API的复杂性。
在部署Grafana时需要配置哪些内容？
需要配置OAuth同意屏幕、Grafana的数据库和用户设置，以及使用Helm进行部署。
Grafana Helm图表对Gateway路由的支持如何？
Grafana Helm图表目前对Gateway路由支持有限，可能需要部署额外的Gateway Helm图表以实现更大的灵活性。
如何在Grafana中进行管理员登录？
可以临时禁用Gateway路由，启用登录表单，然后使用端口转发从localhost进行管理员登录。
➡️
