0

Я использую Grafana на своем сервере. Разворачивается она просто, не через docker.

Проблема в том что раньше она работала по протоколу http, я захотел перейти на https В grafana.ini я создал следующие строки:

#cert_file = /etc/grafana/cert.pem
#cert_key = /etc/grafana/key.pem

И указал протокол https. Сертификат создал командой ubuntu. При подключении сайт пишет что подключение не защищено.

Подскажите, как это можно исправить?

7
  • «Сертификат создал» — и у браузера нет никаких оснований доверять такому левому сертификату. Чтобы подключение считалось защищённым, приобретите сертификат у какого-нибудь из доверенных центров сертификации, например Let's Encrypt
    – andreymal
    Commented 18 мая 2021 в 15:14
  • А разве нельзя сделать сертификат доверенным?
    – Vlad
    Commented 18 мая 2021 в 15:24
  • На странице «подключение не защищено» должна быть кнопка добавления исключения, да
    – andreymal
    Commented 18 мая 2021 в 15:30
  • все же хочется каким то образом в ubuntu сделать сертификат доверенных чтобы не было предупреждения
    – Vlad
    Commented 18 мая 2021 в 16:04
  • Ну если у вас аллергия на проверенные центры сертификации, то unix.stackexchange.com/questions/90450
    – andreymal
    Commented 18 мая 2021 в 16:05

1 ответ 1

1

Сертификат нужно генерировать не самому, а через lets encrypt. А чтобы он обновлялся автоматически, надо использовать certbot.

У меня есть готовый скрипт для этого, но он требует, чтобы ваш домен находился на cloudflare. Потому что используется api cloudflare для подтверждения домена при обновлении сертификата.

Для начала вам нужно сгенерировать токен https://dash.cloudflare.com/profile/api-tokens в cloudflare с правами редактирования домена, на котором работает grafana.
Созданный токен сохраните в переменную:

# сюда подставьте свой токен
export TOKEN="h6N8z2L4HU4xvoJzKdPD8wTURW0SeSeWRLeI-NGk"

Ваш домен так же нужно сохранить в переменную:

# сюда подставьте свой домен
export DOMAIN="example.com"

Если вы используете субдомен, тогда его тоже нужно указать в значении домена:

export DOMAIN="grafana.example.com"

Дальше просто выполните такой скрипт:

apt install certbot python3-pip -y
pip3 install certbot-dns-cloudflare

mkdir ~/.certbot
printf "# Cloudflare API token used by Certbot\ndns_cloudflare_api_token = $TOKEN" > ~/.certbot/cloudflare.ini
chmod 600 ~/.certbot/cloudflare.ini

certbot certonly \
  --dns-cloudflare \
  --dns-cloudflare-credentials ~/.certbot/cloudflare.ini \
  --dns-cloudflare-propagation-seconds 60 \
  -d $DOMAIN

После последней команды certbot будет задавать нам вопросы:

  • Вопрос Enter email address - надо ввести почту администратора, именно вашу личную, чтобы получать уведомления от Lets Encrypt.
  • Вопрос Please read the Terms of Service at... - надо ввести A.
  • Вопрос Would you be willing... - надо ввести N

Если все хорошо, сертификат будет сохранен в файлах:

  • /etc/letsencrypt/live/example.com/fullchain.pem
  • /etc/letsencrypt/live/example.com/privkey.pem

Перемещать эти файлы нельзя, потому что они будут автоматически обновляться в это место.

В вашем конфиге grafana нужно указать путь к этому сертификату:

cert_file = /etc/letsencrypt/live/example.com/fullchain.pem
cert_key = /etc/letsencrypt/live/example.com/privkey.pem

Чтобы сертификат пересоздавался автоматически, нужно добавить такую команду в crontab -e:

0 3  *   *   *     certbot renew

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.