如何在LDAP认证下将NiFi API指标接入Prometheus目标？

可行方案 #

1. 允许匿名访问指标端点（安全策略允许时优先） #

在NiFi的authorizers.xml中配置匿名用户拥有指标端点的只读权限：

<policy identifier="metrics-read-policy" resource="/nifi-api/flow/metrics/prometheus" action="read">
  <user group="anonymous"/>
</policy>

通过cetic/helm-nifi部署时，可通过extraConfigFiles参数注入修改后的配置文件，或利用Chart自带的匿名访问配置项限定权限范围。

2. 使用服务账户生成长期令牌 #

NiFi的服务账户令牌支持设置超长有效期甚至永不过期：

• 在NiFi UI创建服务账户（路径：全局菜单 > 服务账户 > 新建）
• 给该账户分配/nifi-api/flow/metrics/prometheus的read权限
• 生成令牌时设置过期时间为3650d（10年）或勾选永不过期（版本支持的话）
• Prometheus配置中使用该令牌：

- job_name: "nifi-nodes"
  static_configs:
  - targets: ["nif.mycompany.com"]
    metrics_path: '/nifi-api/flow/metrics/prometheus'
  bearer_token: 'your-long-lived-service-account-token'

3. 全局调整用户令牌过期时间 #

修改NiFi的nifi.properties配置，延长所有用户令牌的默认有效期：

nifi.security.user.token.expiration=8760h

此配置将令牌有效期设为1年，需评估对整体安全策略的影响后再使用。

4. 基于OAuth2客户端凭证自动刷新令牌 #

若NiFi集成了支持客户端凭证流的OAuth服务（如Keycloak），可配置Prometheus自动获取并刷新令牌：

- job_name: "nifi-nodes"
  static_configs:
  - targets: ["nif.mycompany.com"]
    metrics_path: '/nifi-api/flow/metrics/prometheus'
  oauth2:
    client_id: 'prometheus-nifi-client'
    client_secret: 'your-client-secret'
    token_url: 'https://your-oauth-provider/token'
    scopes: ['nifi:metrics:read']

内容的提问来源于stack exchange，提问作者Shayki Abramczyk