咨询：是否有人在GKE应用中使用带TLS的Google托管Prometheus？

• 可行性确认：已有不少用户在GKE上成功实现了带TLS的Google托管Prometheus监控，核心是通过PodMonitoring资源的TLS配置段指定证书相关参数。

• 核心配置示例（基于v0.8.2版本的Google托管Prometheus仓库）：
  以下是针对加密metrics端点的PodMonitoring配置示例：

  apiVersion: monitoring.googleapis.com/v1
  kind: PodMonitoring
  metadata:
    name: your-app-monitoring
    namespace: your-namespace
  spec:
    selector:
      matchLabels:
        app: your-app
    endpoints:
    - port: metrics
      path: /metrics
      scheme: https
      tlsConfig:
        caFile: /etc/prometheus/secrets/your-ca-secret/ca.crt
        certFile: /etc/prometheus/secrets/your-client-cert-secret/tls.crt
        keyFile: /etc/prometheus/secrets/your-client-key-secret/tls.key
        insecureSkipVerify: false # 生产环境建议保持false，需确保CA证书正确配置
  

• 证书准备与挂载说明：

  • 先将CA证书、客户端证书及密钥创建为Kubernetes Secret，并存放在应用所在的命名空间中
  • Google托管Prometheus的采集器会自动挂载指定的Secret到/etc/prometheus/secrets/<secret-name>/路径下，因此tlsConfig中的文件路径需对应这个挂载路径

• 关键注意事项：

  • 确保Prometheus采集器使用的服务账号拥有读取对应Secret的权限
  • 如果使用自签名证书且无法配置CA证书，可临时将insecureSkipVerify设为true（不推荐用于生产环境）
  • 配置后可通过Google Cloud Console中的托管Prometheus采集日志，排查证书验证或连接类问题

内容的提问来源于stack exchange，提问作者Kajal Jadeja