Prometheus 在 k8s 上自动检测 TLS（自签名）抓取端点答案

【问题标题】：Auto detection of TLS ( self signed) scrape endpoint by Prometheus on k8sPrometheus 在 k8s 上自动检测 TLS（自签名）抓取端点
【发布时间】：2018-08-20 07:36:15
【问题描述】：

我正在抓取 Kubernetes 集群上服务的指标。我只是对服务进行了注释，以便 Prometheus 检测并开始抓取自动地。服务中添加了以下注释：

metadata:
 annotations:
 prometheus.io/path: /minio/prometheus/metrics
 prometheus.io/port: "9000"
 prometheus.io/scrape: "true"

只要该服务未配置 TLS，它就可以正常工作。但是，当我启用 TLS (HTTPS) 时，Prometheus 不再能够自动发现和抓取服务。要从启用 TLS 的服务器中抓取，我需要使用 insecure_skip_verify 显式添加抓取端点。我正在使用自签名证书。

我有什么方法可以配置 Prometheus，使其在使用自签名证书启用 TLS 时自动发现并开始抓取端点？

【问题讨论】：

标签： docker kubernetes prometheus kubernetes-helm minio

【解决方案1】：

最简单的方法是让您的应用公开一个非 TLS 指标专用端口，这样您就可以保护所有流量并使用明确的 http 公开指标。这就是为 ie 建议的方式。用于 mTLS 和健康检查的 Istio

You can use a separate port for health check and enable mutual TLS only
on the regular service port.

除此之外，您可以将 tls 配置添加到您的抓取目标，因此如果您有自己的自签名 CA，请在此处添加它的证书，应该没问题。

【讨论】：