Prometheus 监控系统的网络通信安全：TLS设置

Prometheus网络通信安全核心在于强制启用TLS加密，覆盖Web接口、抓取目标、远程写入及Alertmanager全链路；需通过web-config.yml配置PEM证书、TLS版本与密码套件，并严格管理证书生命周期。

Prometheus 的网络通信安全核心在于 TLS 加密，它不是可选附加项，而是生产环境的强制底线。没有 TLS，所有指标拉取、API 访问、管理接口的数据都在明文传输，相当于把监控拓扑、目标地址、告警规则甚至凭证直接摊开在网络里。

TLS 必须覆盖的关键通信路径

不是只给 Web UI 加 HTTPS 就算完成——真正需要加密的是全部对外通信链路：

• Prometheus Server 的 Web 接口：包括 `/metrics`、`/api/v1/*`、`/graph` 等所有 HTTP 端点，必须走 HTTPS
• 抓取（scrape）目标端点：当监控对象（如 Node Exporter、etcd、kube-apiserver）启用 HTTPS 时，Prometheus 必须配置 `tls_config` 才能建立可信连接
• 远程写入（remote_write）：向 Cortex、Thanos 或其他后端发送数据时，若对方要求 TLS，需在 `remote_write` 配置中指定证书与验证策略
• Alertmanager 通信：Prometheus 向 Alertmanager 发送告警时，若 Alertmanager 启用了 TLS，需配置 `alerting.webhook_timeout` 和 `tls_config`

Server 端 TLS 配置实操要点

从 Prometheus 2.24 开始，原生支持通过 web-config.yml 启用服务端 TLS：

• 证书文件需为 PEM 格式，包含完整证书链（不含私钥）；私钥文件必须严格权限控制（600）
• min_version 建议设为 TLS12，禁用 TLS 1.0/1.1；max_version 可设为 TLS13
• 显式指定安全密码套件，例如：TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256，避免使用 CBC 模式或 SHA-1
• 启动时必须显式传入 --web.config.file=/etc/prometheus/web-config.yml，否则配置不生效

抓取端 TLS 配置常见陷阱

很多团队只加固了 Server，却忽略了反向通信的安全性：

• 若目标服务使用自签名证书或内网 CA 签发证书，必须在 scrape_configs.tls_config.ca_file 中提供可信 CA 证书，不能设 insecure_skip_verify: true
• 需要客户端认证（mTLS）时，除 ca_file 外，还需配置 cert_file 和 key_file，且证书需被目标服务信任
• Kubernetes 场景下，ServiceMonitor 中的 tlsConfig 必须正确引用 Secret，且该 Secret 需挂载到 Prometheus Pod 的对应路径
• 证书过期会导致整个 job 抓取失败，建议配合 cert-manager 自动轮换，并设置告警监控证书剩余有效期

证书管理与运维建议

TLS 安全性不仅取决于配置，更依赖证书生命周期管理：

• 生产环境优先使用内网私有 CA（如 HashiCorp Vault PKI 或 cfssl），而非自签名证书
• 证书有效期建议设为 1 年以内，避免长期失效风险；关键组件（如 etcd client cert）可设为 90 天
• 所有证书和私钥文件应存放在独立安全目录（如 /etc/prometheus/tls/），禁止放入配置仓库或镜像层
• 定期扫描证书到期时间，可通过 Prometheus 自身指标 prometheus_tls_certificate_expiration_seconds 实现自动告警