文档 Grafana Mimir 管理 安全 保护 Alertmanager

保护 Grafana Mimir Alertmanager

默认情况下，Alertmanager 暴露 API 端点，允许用户配置 Alertmanager。Alertmanager 配置包含用于创建网络连接发送告警通知的接收器。例如，Webhook 接收器允许用户配置任意 URL，Alertmanager 会向该 URL 发送每次告警通知的自定义请求。如果 Alertmanager 的网络安全没有加强，Grafana Mimir 用户可能会配置 Alertmanager 向本地网络和互联网中的任何网络地址发出请求。

我们建议加强 Alertmanager 运行所在网络的安全性。尽管加强网络安全性不在 Grafana Mimir 的范围之内，但 Grafana Mimir 提供了一个基本的内置防火墙，用于阻止 Alertmanager 接收器创建的连接。

• 要在 Alertmanager 接收器中阻止特定的网络地址，请将 -alertmanager.receivers-firewall-block-cidr-networks 设置为要阻止的网络 CIDR 的逗号分隔列表。
• 要在 Alertmanager 接收器中阻止私有和本地地址，请将 -alertmanager.receivers-firewall-block-private-addresses=true。

您可以在运行时配置的 overrides（覆盖配置）部分按租户覆盖 Alertmanager 内置防火墙设置。