如何处理OTEL Collector中prometheusremotewrite返回的401未授权响应？

不用克隆现有exporter的话，推荐通过以下几种方案实现自动刷新凭证：

1. 利用OAuth2 Client扩展（适配标准OAuth2端点） #

如果你的凭证获取端点符合OAuth2 Client Credentials模式，可以直接配置oauth2client扩展，它会自动处理令牌过期和401重连逻辑：

extensions:
  oauth2client:
    client_id: "your-client-id"
    client_secret: "your-client-secret"
    token_url: "http://your-cred-endpoint/token" # 你的自定义凭证获取端点
    scopes: ["required-scope"] # 按需配置

exporters:
  prometheusremotewrite:
    endpoint: "http://prom-remote-write-url/api/v1/write"
    http_client_config:
      auth:
        authenticator: oauth2client

这个扩展会自动管理令牌生命周期，当收到401响应时，会自动重新请求新的令牌并重发数据，无需额外自定义代码。

2. 用Exec认证扩展（适配任意自定义凭证获取逻辑） #

如果你的凭证获取逻辑是非标准的（比如需要自定义HTTP请求头、参数），可以写一个简单脚本（Python/Shell均可）调用HTTP端点获取凭证，再通过exec认证扩展执行脚本：

步骤1：编写凭证获取脚本（示例Python脚本） #

import requests

# 自定义请求逻辑，调用你的凭证端点
response = requests.get(
    "http://your-cred-endpoint/get-token",
    headers={"X-Custom-Header": "your-custom-value"}
)
response.raise_for_status()
print(response.text.strip()) # 输出纯令牌字符串

步骤2：配置OTEL Collector #

extensions:
  bearertokenauth:
    token: "${FILE:/path/to/token.txt}" # 存储令牌的文件路径
  exec:
    command: ["python3", "/path/to/your-script.py"]
    interval: 3600 # 主动刷新令牌的间隔（秒）
    output_file: "/path/to/token.txt" # 脚本输出写入的令牌文件

exporters:
  prometheusremotewrite:
    endpoint: "http://prom-remote-write-url/api/v1/write"
    http_client_config:
      auth:
        authenticator: bearertokenauth
      retry_on_failure:
        enabled: true
        retry_http_codes: [401] # 遇到401时触发重试，此时令牌已更新

service:
  extensions: [exec, bearertokenauth]
  pipelines:
    metrics:
      exporters: [prometheusremotewrite]

exec扩展会定期执行脚本刷新令牌，exporter遇到401时会自动重试，使用最新的令牌发送数据。

3. 自定义认证扩展（灵活代码控制） #

如果上述方案都不满足需求，可以编写轻量级的OTEL Collector认证扩展，实现auth.ClientAuthenticator接口，在逻辑中处理401时的凭证刷新。这种方式无需修改prometheusremotewrite exporter，只需将自定义扩展作为authenticator配置给exporter的HTTP客户端。

核心逻辑示例（Go代码片段）：

type customAuth struct {
	token   string
	client  *http.Client
	credURL string
}

func (a *customAuth) RoundTrip(req *http.Request) (*http.Response, error) {
	req.Header.Set("Authorization", "Bearer "+a.token)
	resp, err := a.client.Do(req)
	if err != nil {
		return resp, err
	}

	// 捕获401响应，刷新令牌并重发请求
	if resp.StatusCode == http.StatusUnauthorized {
		newToken, err := a.fetchNewToken()
		if err != nil {
			return resp, err
		}
		a.token = newToken
		req.Header.Set("Authorization", "Bearer "+newToken)
		_ = resp.Body.Close() // 关闭原响应体
		return a.client.Do(req)
	}
	return resp, nil
}

func (a *customAuth) fetchNewToken() (string, error) {
	resp, err := a.client.Get(a.credURL)
	if err != nil {
		return "", err
	}
	defer resp.Body.Close()
	tokenBytes, err := io.ReadAll(resp.Body)
	if err != nil {
		return "", err
	}
	return string(tokenBytes), nil
}

将该扩展编译进OTEL Collector后，在配置中指定该authenticator即可生效。

内容的提问来源于stack exchange，提问作者Nirav Radia