Prometheusを「裸」で運用するな。ゼロトラスト時代のセキュア監視アーキテクチャ
こんにちは。オブザーバビリティの世界へようこそ。
多くのエンジニアがPrometheusを導入する際、最初の壁になるのが「セキュリティ」です。デフォルトのPrometheusは、いわば「鍵のかかっていない玄関」のようなもの。社内LANの内側ならまだしも、現代のクラウドネイティブな環境、あるいはゼロトラストを前提としたインフラでは、裸のPrometheusを公開するのは自殺行為に等しいのです。
今回は、Prometheusを「鉄壁の要塞」に変えるための、TLS通信と認証の実装術を伝授します。これをマスターすれば、あなたの監視環境はプロの現場で通用するレベルまで一気に引き上がりますよ。
—
1. なぜPrometheusにセキュリティが必要なのか？
Prometheusの役割は「メトリクスの収集」と「クエリによる可視化」です。しかし、認証がない状態では以下のリスクが潜んでいます。
- 情報漏洩: 誰でも全ノードのメトリクス（時には機密情報を含むアプリのステータス）を盗み見れる。
- DoS攻撃: 悪意のある重いPromQLを大量に投げつけられ、メモリ枯渇を引き起こす。
- 設定の改ざん: 万が一、Prometheusの設定APIが露出していれば、運用を乗っ取られる。
これらを防ぐための「門番」を立てるのが、今回のゴールです。
—
2. 【基礎】TLSクライアント証明書で「通信の正当性」を保証する
Prometheusのスクレイピング（Pull型）において、最も強固なのはmTLS（相互TLS認証）です。サーバーだけでなく、クライアント（Exporter）も証明書を提示させることで、「誰でもアクセスできる状態」を完全に排除します。
設定の手順
1. CA（認証局）を作成し、サーバー用・クライアント用の証明書を発行する。
2. Prometheusの設定ファイル (`prometheus.yml`) を修正する。
scrape_configs:
- job_name: ‘secure-node’
scheme: https
tls_config:
# CA証明書で信頼チェーンを検証
ca_file: /etc/prometheus/certs/ca.crt
# Prometheus自身の証明書（サーバー側で要求される場合）
cert_file: /etc/prometheus/certs/client.crt
key_file: /etc/prometheus/certs/client.key
# 接続先サーバーの証明書を検証
insecure_skip_verify: false
これにより、暗号化されていない通信や、許可されていないノードからのレスポンスを即座に遮断できます。
—
3. 【応用】プロキシによる「鉄壁のアクセス制御」
Prometheus自体には、実は洗練された認証機能（OAuth2や複雑なRBAC）は備わっていません。そこで、世界中のアーキテクトはリバースプロキシ（Nginxやoauth2-proxy）を前段に置くのが定石です。
OAuth2 / Basic認証の実装案
最も現実的で、かつ運用コストが低いのは `oauth2-proxy` をサイドカーとして配置する方法です。
構成図
`[ブラウザ/Grafana] -> [oauth2-proxy (認証)] -> [Prometheus]`
設定のポイント（oauth2-proxy）
以下は、OAuth2認証（Google等）を挟みつつ、Prometheusを守る設定の抜粋です。
oauth2-proxyの起動コマンド例
./oauth2-proxy \
–upstream=http://localhost:9090/ \ # Prometheusの本体へ転送
–http-address=0.0.0.0:4180 \ # ここが公開ポート
–provider=google \ # Google認証を利用
–email-domain=”your-company.com” # 社員のみ許可
これで、PrometheusのURLを叩いた瞬間にログイン画面が現れ、認証が通った者しかクエリを投げられない環境が完成します。
—
4. 動作確認：これができれば一人前！
設定が終わったら、必ず以下の手順で「拒絶されること」を確認してください。
1. 認証なしで叩く: `curl -v https://prometheus.your-domain.com/` を実行。
- 期待される結果: `401 Unauthorized` またはログインページへのリダイレクト。
2. 不正な証明書で叩く: 自己署名の適当な証明書を指定してスクレイピングを試みる。
- 期待される結果: `x509: certificate signed by unknown authority` エラーで遮断される。
これらが確認できれば、あなたのPrometheusはもう「裸」ではありません。立派な要塞です。
—
先輩からのアドバイス：運用を楽にするコツ
セキュリティを高めると、管理コストが増えるのが世の常です。ですが、「証明書の自動更新（cert-managerの使用）」と「認証プロキシのインフラコード化（Terraform/Helm）」をセットで行えば、手作業によるミスはゼロにできます。
オブザーバビリティは「ただデータを取る」ことではなく、「信頼できるデータを、守りながら届ける」ことに真髄があります。まずは小さなステップから、あなたのPrometheusを堅牢にしてみてください。
もし設定で詰まったら、いつでも聞いてくださいね。技術の本質さえ掴めば、どんな壁も必ず乗り越えられますから。応援しています！