GKE集群中应用Prometheus指标端点的身份认证处理方案

方案1：通过Workload Identity实现服务账号身份验证 #

• 为托管Prometheus采集器绑定专用的GCP服务账号，借助GKE Workload Identity将其关联到集群内的ServiceAccount。
• 在应用的/prometheus端点开发认证逻辑：校验请求Authorization头中的Google OIDC ID Token，验证Token的受众、签发者以及对应服务账号的权限，确认是合法采集器身份后返回指标数据。
• 配置PodMonitoring时无需额外添加令牌配置，采集器会自动使用绑定的服务账号身份发起请求并携带有效ID Token。

方案2：用Sidecar代理统一处理认证 #

• 在微服务Pod中部署Sidecar代理（如Envoy），由代理接收所有指向/prometheus的请求。
• 为代理设置认证规则：仅允许来自托管Prometheus采集器IP段或携带预共享密钥的请求转发到后端应用的真实指标端点。
• 在PodMonitoring配置中，将采集目标指向Sidecar代理的端口，并添加请求头携带密钥，示例片段：

apiVersion: monitoring.googleapis.com/v1
kind: PodMonitoring
metadata:
  name: demo-service-monitor
spec:
  selector:
    matchLabels:
      app: demo-service
  endpoints:
  - port: metrics-proxy
    path: /prometheus
    headers:
      Authorization: "Bearer your-pre-shared-secret"

方案3：集群级认证中间件控制访问 #

• 部署集群级的认证中间件（比如基于Istio的AuthorizationPolicy），针对/prometheus路径配置访问规则，仅允许托管Prometheus采集器的服务账号或源IP访问。
• 该方式无需修改应用代码，通过服务网格或Ingress层面的规则完成认证，采集器无需额外配置令牌，依靠集群内部身份识别机制实现访问控制。

内容的提问来源于stack exchange，提问作者Illidanek