Cómo instalar y proteger Grafana en Ubuntu 18.04 LTS

Introducción

Grafana es una herramienta de monitorización y visualización de datos de código abierto que se integra con datos de fuentes como Prometheus, InfluxDB, Graphite y ElasticSearch. Grafana le permite crear alertas, notificaciones y filtros ad-hoc para sus datos, al tiempo que facilita la colaboración con su equipo gracias a las funciones de uso compartido integradas.

En este tutorial, instalará Grafana y lo protegerá con un certificado SSL y un proxy inverso Nginx.

Si su intención es instalar Grafana en un servidor remoto, continúe leyendo; de lo contrario, si desea instalar Grafana en su computadora local, omita el primer párrafo "Conexión al servidor" y lea el siguiente.

Conexión al servidor

Para acceder al servidor, necesita conocer la dirección IP. También necesitará su nombre de usuario y contraseña para la autenticación. Para conectarse al servidor como root, escriba el siguiente comando:

ssh root@IP_DEL_SERVER

A continuación, deberá ingresar la contraseña del usuario root.

Si no está utilizando el usuario root, puede iniciar sesión con otro nombre de usuario utilizando el mismo comando, luego cambie root a su nombre de usuario:

ssh nome_utente@IP_DEL_SERVER

Luego se le pedirá que ingrese su contraseña de usuario.

El puerto estándar para conectarse a través de ssh es 22, si su servidor usa un puerto diferente, deberá especificarlo usando el parámetro -p, luego escriba el siguiente comando:

ssh nome_utente@IP_DEL_SERVER -p PORTA

Prerrequisitos

Para seguir este tutorial, necesitará:

Un servidor Ubuntu 18.04 configurado siguiendo la Guía de configuración inicial del servidor para Ubuntu 18.04, que incluye un usuario no root con privilegios sudo y un firewall configurado con ufw.
Un nombre de dominio completamente registrado.
Instalación y configuración de Nginx siguiendo el tutorial Cómo instalar Nginx en Ubuntu 18.04, incluido un host virtual para su dominio.
Let's Encrypt configurado para su Nginx Vritual Host, que puede configurar siguiendo Cómo proteger Nginx con Let's Encrypt en Ubuntu 18.04.

Instalar Grafana

En este primer paso, instalará Grafana en su servidor Ubuntu 18.04. Puede instalar Grafana descargándolo directamente desde su sitio web oficial o mediante un repositorio APT. Dado que un repositorio de APT facilita la instalación y la gestión de las actualizaciones de Grafana, utilizará este método en este tutorial.

Aunque Grafana está disponible en el repositorio oficial de paquetes de Ubuntu 18.04, es posible que la versión de Grafana no sea la más reciente, así que utilice el repositorio oficial de Grafana.

Descargue la clave GPG Grafana con wget. La clave se agregará a la lista de claves confiables de la instalación de APT, lo que le permitirá descargar y verificar el paquete Grafana firmado por GPG.

wget -q -O - https://packages.grafana.com/gpg.key | sudo apt-key add -

En este comando, la opción -q desactiva el mensaje de actualización de estado para wget y -O muestra el archivo descargado en la terminal.

A continuación, agregue el repositorio de Grafana a sus fuentes APT:

sudo add-apt-repository "deb https://packages.grafana.com/oss/deb stable main"

Actualizar la caché de APT para actualizar las listas de paquetes:

sudo apt update

Por lo tanto, asegúrese de que Grafana se instale desde el repositorio de Grafana:

apt-cache policy grafana

El resultado del comando anterior indica la versión de Grafana que está a punto de instalar y de dónde obtendrá el paquete. Verifique que el candidato de instalación en la parte superior de la lista sea del repositorio oficial de Grafana en https://packages.grafana.com/oss/deb.

Installed: (none)
 Candidate: 6.3.5
 Version table:
 6.3.5 500
 500 https://packages.grafana.com/oss/deb stable/main amd64 Packages...

Ahora puede continuar con la instalación:

sudo apt install grafana

Una vez que Grafana esté instalado, use systemctl para iniciar el servidor Grafana:

sudo systemctl start grafana-server

A continuación, verifique que Grafana se esté ejecutando comprobando el estado del servicio:

sudo systemctl status grafana-server

Recibirá un resultado similar al siguiente:

 grafana-server.service - Grafana instance
 Loaded: loaded (/usr/lib/systemd/system/grafana-server.service; enabled; vendor preset: enabled)
 Active: active (running) since Wed 2019-09-11 20:18:47 CEST; 18min ago
 Docs: http://docs.grafana.org
 Main PID: 7856 (grafana-server)
 Tasks: 9 (limit: 2299)
 CGroup: /system.slice/grafana-server.service
 └─7856 /usr/sbin/grafana-server --config=/etc/grafana/grafana.ini --pidfile=/var/run/grafana/grafana-server.pid --p...

Esta salida contiene información sobre el proceso de Grafana, incluido el estado, el identificador del proceso principal (PID) y más. active (en ejecución) muestra que el proceso se está ejecutando correctamente.

Finalmente, habilite el servicio para que inicie Grafana automáticamente cuando se inicie el servidor:

sudo systemctl enable grafana-server

Recibirá un mensaje de salida similar al siguiente:

Output of systemctl enable grafana-serverSynchronizing state of grafana-server.service with SysV service script with /lib/systemd/systemd-sysv-install.
 Executing: /lib/systemd/systemd-sysv-install enable grafana-server
 Created symlink /etc/systemd/system/multi-user.target.wants/grafana-server.service → /usr/lib/systemd/system/grafana-server.service.

Esto confirma que systemd ha creado los enlaces simbólicos necesarios para iniciar Grafana automáticamente al iniciar el servidor /escritorio.

Grafana ahora está instalado y listo para usar.

Configurar el proxy inverso

El uso de un certificado SSL garantizará la seguridad de sus datos al cifrar la conexión hacia y desde Grafana. Pero, para usar esta conexión, primero debe reconfigurar Nginx como un proxy inverso para Grafana.

Abra el archivo de configuración de Nginx que creó cuando configuró el bloqueo del servidor Nginx con Let's Encrypt en los requisitos previos. Puedes usar cualquier editor de texto, pero para este tutorial usaremos nano:

sudo nano /etc/nginx/sites-available/tuo_dominio.it

Busque el siguiente bloque:

…
 location /{
 try_files $uri $uri/=404;
 }
 …

Dado que ya ha configurado Nginx para comunicarse a través de SSL y dado que todo el tráfico web a su servidor ya pasa por Nginx, solo tiene que decirle a Nginx que reenvíe todas las solicitudes a Grafana, que se ejecuta en el puerto 3000 de forma predeterminada.

Elimine la línea try_files y reemplácela con la siguiente opción proxy_pass.

…
 location /{
 proxy_pass http://localhost:3000;
 }
 …

Esto asignará el proxy al puerto apropiado. Cuando termine, guarde y cierre el archivo presionando CTRL + X, seguido de Y para guardar los cambios y luego ENTER si está usando nano.

Ahora, pruebe la nueva configuración para asegurarse de que todo esté configurado correctamente:

sudo nginx -t

Debería obtener el siguiente resultado:

Outputnginx: the configuration file /etc/nginx/nginx.conf syntax is ok
 nginx: configuration file /etc/nginx/nginx.conf test is successful

Finalmente, active los cambios recargando Nginx:

sudo systemctl reload nginx

Ahora puede acceder a la pantalla de inicio de sesión predeterminada de Grafana con su navegador web. Si no puede comunicarse con Grafana, verifique que su firewall esté configurado para permitir el tráfico en el puerto.

https://tuo_dominio.it

Con la conexión a Grafana cifrada, ahora es posible implementar medidas de seguridad adicionales, comenzando con la modificación de las credenciales administrativas predeterminadas de Grafana.

Actualización de credenciales

Dado que cada instalación de Grafana utiliza las mismas credenciales administrativas de forma predeterminada, se recomienda que cambie su información de inicio de sesión lo antes posible.

Abra su navegador web y conéctese a su dominio. Aparecerá la pantalla de inicio de sesión predeterminada donde verá el logotipo de Grafana. Inicie sesión ingresando admin en los campos Usuario y Contraseña, luego haga clic en el botón Iniciar sesión.

En la siguiente pantalla, se le pedirá que haga su cuenta más segura cambiando la contraseña predeterminada.

Ingrese la contraseña que desea en los campos Nueva contraseña y Confirmar nueva contraseña.

Haga clic en Guardar para guardar la nueva información o haga clic en Omitir para omitir este paso. Si omite, se le pedirá que cambie su contraseña la próxima vez que inicie sesión.

Para aumentar la seguridad de la configuración de Grafana, haga clic en Guardar.

Deshabilite los registros de Grafana y el acceso anónimo

Grafana ofrece opciones que permiten a los visitantes crear cuentas de usuario para ellos mismos y obtener una vista previa de los paneles sin registrarse. Al usar Grafana en línea para trabajar con datos confidenciales, el acceso anónimo podría ser un problema de seguridad. Para solucionar este problema, realice algunos cambios en la configuración de Grafana.

Abra el archivo de configuración principal de Grafana para editarlo:

sudo nano /etc/grafana/grafana.ini

Busque el siguiente parámetro allow_sign_up debajo del encabezado [usuarios]:

…
 [users]
 # disable user signup /registration
 ;allow_sign_up = true
 …

Si esta opción está configurada como verdadera , se agregará un botón Registrarse a la pantalla de inicio de sesión, lo que permitirá a los usuarios registrarse e iniciar sesión en Grafana.

Para deshabilitar esta función, luego para ocultar la clave de suscripción, establezca el parámetro en falso.

Elimine el comentario de esta directiva eliminando " ; " al principio de la línea y estableciendo la opción en falso:

…
 [users]
 # disable user signup /registration
 allow_sign_up = false
 …

Luego, busque el siguiente parámetro habilitado debajo del encabezado [auth.anonymous]:

…
 [auth.anonymous]
 # enable anonymous access
 ;enabled = false
 …

El parámetro habilitado establecido con verdadero permite a los usuarios no registrados acceder a los paneles; establecer esta opción en falso restringe el acceso al panel solo a los usuarios registrados.

Elimine el comentario de esta directiva eliminando " ; " al principio de la línea y estableciendo la opción en falso.

…
 [auth.anonymous]
 enabled = false
 …

Esto asignará el proxy al puerto apropiado. Cuando termine, guarde y cierre el archivo presionando CTRL + X, seguido de Y para guardar los cambios y luego ENTER si está usando nano.

Para activar los cambios, reinicie Grafana:

sudo systemctl restart grafana-server

Verifique que todo esté funcionando verificando el estado del servicio Grafana:

sudo systemctl status grafana-server

Como antes, la salida informará que Grafana está activo (en ejecución).

Conéctese con su navegador a su dominio. Para volver a la pantalla Registrarse, mueva el cursor sobre su avatar en la parte inferior izquierda de la pantalla y haga clic en el elemento Cerrar sesión.

Después de cerrar la sesión, compruebe que no haya un botón Registrarse y que no pueda iniciar sesión sin introducir sus credenciales de inicio de sesión.

En este punto, Grafana está completamente configurado y listo para usar.

Conclusión

En este tutorial ha instalado, configurado y protegido Grafana. Para obtener más información sobre el uso de Grafana, consulte la documentación oficial de Grafana.