禁用 Prometheus 健康端点的安全性，/-/healthy 和/-/ready 端点在启用基本身份验证时也受到保护

Question

我使用的是 Prometheus 2.28 版，我在 Prometheus 服务器上启用了基本身份验证，似乎在启用之后， /-/healthy和/-/ready端点也受到保护。 我在 Kubernates 中使用这些端点进行活性和红色探测。 我可以选择将 Authorization 标头作为 yaml 的一部分传递，如下所示。 但是，他们是否可以通过其他任何方式安全地传递用户名和密码作为其唯一的 base64 编码。 或者是否可以禁用 Prometheus 健康端点的安全性。

livenessProbe:
      httpGet:
        path: /-/healthy
        port: 9090
        httpHeaders:
        - name: Authorization
          value: Basic dXNlcjpwYXNz

Answer 1

不幸的是没有。 到目前为止，您所拥有的可能是唯一有效的解决方案。

早在 2015 年就有一个 GitHub 问题 ( #16910 ) 来实现对 HTTP 活跃度探测的身份验证支持，但最终被废弃。

Answer 2

Promethus 服务器只为 /healthy 和 /ready 端点返回 200 OK 而没有做任何进一步的检查，所以我认为你可以使用不需要凭据的 tcpSocket 探针代替 httpGet。

Answer 3

可以在livenessProbe探针中使用 Authorization Bearer 令牌，同时在 Prometheus 服务器上使用基本身份验证。 以下是示例代码段：

livenessProbe:
  httpGet:
    path: /-/healthy
    port: 9090
    httpHeaders:
    - name: Authorization
      value: Basic ejikUHJvOlpahbgrk1Bhc3MkMjekMg==

要知道的重要一点是，必须从 devtools 的网络选项卡中浏览器的请求标头中选择基本<Token Value> 。 请不要从 cli 或终端进行编码， <Token Value>可能不起作用。