Ubuntu 18.04 Üzerine Grafana Kurulumu ve Güvenliği: Kapsamlı Bir Rehber
Grafana, açık kaynak kodlu, güçlü bir veri görselleştirme ve analiz aracıdır. Zaman serisi verilerini grafikler, panolar ve uyarılar aracılığıyla anlaşılır bir şekilde sunarak sistemlerinizi, uygulamalarınızı ve altyapınızı izlemenize olanak tanır. Prometheus, InfluxDB, MySQL, PostgreSQL, Elasticsearch gibi birçok farklı veri kaynağıyla entegre olabilmesi sayesinde, operasyonel görünürlük sağlamak isteyen her türlü organizasyon için vazgeçilmez bir araç haline gelmiştir. Bu makale, Ubuntu 18.04 işletim sistemi üzerinde Grafana’yı adım adım nasıl kuracağınızı ve en iyi güvenlik uygulamalarını uygulayarak nasıl güvence altına alacağınızı ayrıntılı bir şekilde açıklamaktadır.
Giriş
Günümüzün karmaşık IT altyapılarında, sistemlerin ve uygulamaların sürekli izlenmesi, olası sorunları proaktif bir şekilde tespit etmek ve performansı optimize etmek için hayati öneme sahiptir. Grafana, bu ihtiyacı karşılamak için tasarlanmış, esnek ve kullanıcı dostu bir platform sunar. Bu rehberde, Ubuntu 18.04 sunucunuzda Grafana’yı kurmak için gerekli tüm adımları, bağımlılıkların yüklenmesinden, Grafana hizmetinin başlatılmasına kadar detaylandıracağız. Ayrıca, kurulumdan sonra Grafana kurulumunuzu yetkisiz erişime ve diğer güvenlik tehditlerine karşı korumak için uygulamanız gereken temel güvenlik önlemlerini de ele alacağız. Bu önlemler, varsayılan kimlik bilgilerini değiştirmekten, SSL/TLS şifrelemesini etkinleştirmeye ve güvenlik duvarı yapılandırmasına kadar geniş bir yelpazeyi kapsayacaktır.
Grafana Nedir?
Grafana, verileri görselleştirmek, analiz etmek ve izlemek için kullanılan, web tabanlı, açık kaynaklı bir platformdur. Kullanıcıların çeşitli veri kaynaklarından gelen metrikleri ve günlükleri tek bir merkezi arayüzde birleştirmesine olanak tanır. Temel özellikleri şunları içerir:
* Zengin Veri Kaynağı Desteği: Prometheus, InfluxDB, MySQL, PostgreSQL, Elasticsearch, CloudWatch, Graphite, OpenTSDB gibi çok sayıda veri kaynağını destekler. Bu sayede farklı sistemlerden gelen verileri tek bir yerde toplayabilirsiniz.
* Esnek Panolar (Dashboards): Sürükle ve bırak arayüzü ile özelleştirilebilir panolar oluşturulabilir. Bu panolar, farklı görselleştirme türleri (grafikler, tablolar, göstergeler vb.) ile zenginleştirilebilir.
* Uyarı Sistemi (Alerting): Belirli eşik değerleri aşıldığında veya belirli koşullar karşılandığında e-posta, Slack, PagerDuty gibi kanallar aracılığıyla otomatik uyarılar gönderebilir.
* Eklenti Mimarisi: Geniş bir eklenti ekosistemine sahiptir, bu da yeni veri kaynakları, görselleştirme türleri ve uygulama entegrasyonları eklemeyi kolaylaştırır.
* Kullanıcı ve Organizasyon Yönetimi: Farklı kullanıcı rolleri (yönetici, düzenleyici, görüntüleyici) ve organizasyonlar arasında erişim kontrolü sağlar.
Grafana, DevOps ekipleri, sistem yöneticileri, geliştiriciler ve iş analistleri tarafından sistem performansını izlemek, uygulama sağlığını takip etmek, iş metriklerini görselleştirmek ve hızlı karar verme süreçlerini desteklemek için yaygın olarak kullanılmaktadır.
Ön Koşullar
Grafana kurulumuna başlamadan önce aşağıdaki ön koşulların yerine getirildiğinden emin olun:
* Ubuntu 18.04 Sunucusu: Temiz bir Ubuntu 18.04 sunucusu veya sanal makine.
* Sudo Ayrıcalıkları: sudo ayrıcalıklarına sahip, root olmayan bir kullanıcı hesabı. Güvenlik nedenleriyle root kullanıcısı olarak doğrudan işlem yapmaktan kaçınılmalıdır.
* Güncel Sistem: Sunucunuzun paket listesini ve yüklü paketlerini güncelleyin:
sudo apt update
sudo apt upgrade -y* İsteğe Bağlı: Alan Adı ve DNS Kayıtları: Grafana arayüzüne bir alan adı üzerinden erişmeyi ve SSL/TLS şifrelemesi kullanmayı planlıyorsanız, bir alan adına ve bu alan adının sunucunuzun IP adresine işaret eden A/AAAA DNS kaydına sahip olmanız gerekir.
Bu ön koşullar tamamlandıktan sonra Grafana kurulumuna geçebiliriz.
Grafana Kurulumu
Grafana’yı Ubuntu 18.04 üzerine kurmanın en yaygın ve önerilen yolu, Grafana APT deposunu sisteminize eklemek ve ardından paket yöneticisini kullanarak kurulum yapmaktır. Bu yöntem, Grafana’nın güncellemelerini kolayca almanızı sağlar.
APT Deposu Üzerinden Kurulum
İlk olarak, Grafana APT deposunun GPG anahtarını sisteminize eklememiz gerekiyor. Bu, indirdiğiniz paketlerin orijinalliğini doğrulamanızı sağlar.
1. GPG Anahtarını İçe Aktarma:
wget -q -O - https://packages.grafana.com/gpg.key | sudo apt-key add -Bu komut, Grafana’nın genel GPG anahtarını indirir ve sisteminizin güvenilir anahtarlar listesine ekler.
2. Grafana APT Deposunu Ekleme:
Şimdi Grafana deposunu sisteminizin kaynak listesine ekleyeceğiz. İki farklı Grafana sürümü mevcuttur: “OSS” (Açık Kaynak Sürümü) ve “Enterprise” (Kurumsal Sürüm). Genellikle, temel ihtiyaçlar için OSS sürümü yeterlidir. Enterprise sürümü, ek özellikler ve ticari destek sunar. Bu rehberde OSS sürümünü kuracağız.
echo "deb https://packages.grafana.com/oss/deb stable main" | sudo tee -a /etc/apt/sources.list.d/grafana.list Bu komut, /etc/apt/sources.list.d/grafana.list adlı yeni bir dosya oluşturur ve Grafana deposu bilgisini bu dosyaya yazar.
3. APT Paket Listesini Güncelleme:
Yeni depoyu ekledikten sonra, apt paket listesini güncellemeniz gerekir, böylece sisteminiz yeni depodan paketleri tanır.
sudo apt updatePaket Yöneticisi ile Kurulum
APT paket listesi güncellendikten sonra, Grafana’yı yüklemeye hazırsınız.
sudo apt install grafana -yBu komut, Grafana OSS sürümünü ve tüm bağımlılıklarını sisteminize yükleyecektir. Kurulum işlemi biraz zaman alabilir.
Sistem Hizmetini Başlatma ve Etkinleştirme
Grafana yüklendikten sonra, systemd ile yönetilen bir hizmet olarak çalışır. Hizmeti başlatmalı ve sistemin her önyüklemede otomatik olarak başlamasını sağlamak için etkinleştirmelisiniz.
1. Grafana Hizmetini Başlatma:
sudo systemctl start grafana-server2. Grafana Hizmetini Etkinleştirme:
sudo systemctl enable grafana-serverBu, sunucunuz yeniden başlatıldığında Grafana’nın otomatik olarak başlamasını sağlar.
3. Hizmet Durumunu Kontrol Etme:
Grafana hizmetinin başarıyla çalıştığını doğrulamak için durumunu kontrol edebilirsiniz:
sudo systemctl status grafana-serverÇıktıda “active (running)” ifadesini görmelisiniz.
Grafana Arayüzüne Erişim
Grafana varsayılan olarak 3000 numaralı HTTP portunda dinler. Kurulum tamamlandıktan ve hizmet başlatıldıktan sonra, bir web tarayıcısı kullanarak Grafana arayüzüne erişebilirsiniz.
Tarayıcınızın adres çubuğuna sunucunuzun IP adresini veya alan adını ve 3000 portunu yazın:
http://YOUR_SERVER_IP_OR_DOMAIN:3000
İlk erişiminizde bir giriş ekranı ile karşılaşacaksınız. Varsayılan kimlik bilgileri şunlardır:
* Kullanıcı Adı: admin
* Parola: admin
Giriş yaptıktan sonra, Grafana sizden varsayılan parolayı değiştirmenizi isteyecektir. Bu, Grafana kurulumunuzu güvence altına almanın ilk ve en önemli adımıdır. Güçlü bir parola belirlediğinizden emin olun.
Grafana Güvenliğini Sağlama
Grafana’nın kurulumu kolay olsa da, üretim ortamlarında güvenli bir şekilde çalıştığından emin olmak için ek adımlar atılması kritik öneme sahiptir. Aşağıdaki bölümlerde, Grafana kurulumunuzu güvence altına almak için uygulayabileceğiniz çeşitli yöntemler açıklanmaktadır.
Varsayılan Kimlik Bilgilerini Değiştirme
Grafana’ya ilk giriş yaptığınızda, varsayılan admin/admin kimlik bilgilerini hemen değiştirmeniz istenir. Bu adımı kesinlikle atlamayın. Güçlü, benzersiz bir parola belirleyin ve bunu güvenli bir yerde saklayın. Varsayılan parolaları kullanmak, yetkisiz erişim için en yaygın güvenlik açıklarından biridir.
SSL/TLS Şifrelemesini Etkinleştirme
Grafana arayüzüne HTTP üzerinden erişmek, iletişiminizin şifrelenmemiş olduğu anlamına gelir. Bu, hassas verilerin ve kimlik bilgilerinin ağ üzerinden potansiyel olarak ele geçirilmesine yol açabilir. Bu nedenle, HTTPS kullanarak SSL/TLS şifrelemesini etkinleştirmek zorunludur. Bunu yapmanın en yaygın yolu, bir ters proxy (örneğin Nginx veya Apache) kullanmak ve bu proxy üzerinde SSL’i yapılandırmaktır.
Let’s Encrypt ile Sertifika Alma
Let’s Encrypt, ücretsiz, otomatik ve açık bir sertifika yetkilisidir (CA). Certbot aracı ile kolayca SSL/TLS sertifikaları alabilirsiniz.
1. Certbot’u Yükleme:
sudo apt install certbot python3-certbot-nginx -yBu komut, Certbot’u ve Nginx eklentisini yükler.
2. Sertifika Alma:
Nginx’i ters proxy olarak kullanacağımız için, Certbot’un Nginx eklentisini kullanarak sertifika alabiliriz. Ancak Nginx henüz yapılandırılmadığı için, ilk olarak certonly modunu kullanabiliriz:
sudo certbot certonly --standalone -d your_domain.com your_domain.com yerine kendi alan adınızı yazın. Certbot sizden bir e-posta adresi isteyecek (yenileme ve güvenlik bildirimleri için) ve hizmet koşullarını kabul etmenizi isteyecektir. Başarılı olursa, sertifikalarınız /etc/letsencrypt/live/your_domain.com/ dizininde saklanacaktır.
Not: Nginx’i kurup temel bir yapılandırma yaptıktan sonra sudo certbot --nginx -d your_domain.com komutunu kullanarak da sertifika alabilirsiniz. Bu komut, Nginx yapılandırmanızı otomatik olarak günceller.
Nginx Ters Proxy Kurulumu
Nginx’i yükleyerek ve yapılandırarak, gelen HTTPS isteklerini Grafana’nın yerel HTTP portuna (3000) yönlendirebiliriz.
1. Nginx’i Yükleme:
sudo apt install nginx -y2. Nginx Yapılandırması:
Yeni bir Nginx sunucu bloğu dosyası oluşturalım.
sudo nano /etc/nginx/sites-available/grafana Dosyanın içine aşağıdaki yapılandırmayı yapıştırın. your_domain.com ve sertifika yollarını kendi alan adınıza göre düzenleyin.
server {
listen 80;
server_name your_domain.com;
return 301 https://$host$request_uri;
}
server {
listen 443 ssl http2;
server_name your_domain.com;
ssl_certificate /etc/letsencrypt/live/your_domain.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/your_domain.com/privkey.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:10m;
ssl_session_tickets off;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384';
ssl_prefer_server_ciphers on;
# HSTS (HTTP Strict Transport Security)
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload";
location / {
proxy_pass http://localhost:3000/;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
}Bu yapılandırma, HTTP isteklerini HTTPS’ye yönlendirir, SSL/TLS sertifikalarınızı kullanır ve gelen istekleri Grafana’nın yerel 3000 portuna iletir.
3. Yapılandırmayı Etkinleştirme ve Test Etme:
Yeni yapılandırma dosyasını Nginx’in sites-enabled dizinine bağlayın ve varsayılan Nginx yapılandırmasını devre dışı bırakın.
sudo ln -s /etc/nginx/sites-available/grafana /etc/nginx/sites-enabled/
sudo unlink /etc/nginx/sites-enabled/defaultNginx yapılandırmanızın sözdizimini kontrol edin:
sudo nginx -tHerhangi bir hata yoksa, Nginx hizmetini yeniden başlatın:
sudo systemctl restart nginxGrafana Yapılandırması (Nginx için)
Grafana’nın, bir ters proxy arkasında çalıştığını bilmesi için bazı ayarları yapmanız gerekir. Grafana yapılandırma dosyası /etc/grafana/grafana.ini adresindedir.
1. Grafana Yapılandırma Dosyasını Düzenleme:
sudo nano /etc/grafana/grafana.ini [server] bölümünde aşağıdaki satırları bulun veya ekleyin/değiştirin:
[server]
# Nginx 3000 portuna proxy yaptığı için Grafana'nın kendi portu değişmez.
# http_port = 3000
domain = your_domain.com
root_url = https://your_domain.com/
# Nginx'in ters proxy olarak kullanıldığını belirtir.
# Eğer Grafana'ya bir alt dizin üzerinden erişiyorsanız (örn. your_domain.com/grafana),
# serve_from_sub_path = true yapmalı ve root_url'yi buna göre ayarlamalısınız.
# Bu örnekte root_url doğrudan alan adı olduğu için false kalabilir.
serve_from_sub_path = falseDeğişiklikleri kaydedin ve dosyayı kapatın.
2. Grafana Hizmetini Yeniden Başlatma:
Yapılandırma değişikliklerinin etkili olması için Grafana hizmetini yeniden başlatın.
sudo systemctl restart grafana-server Şimdi https://your_domain.com adresinden Grafana’ya güvenli bir şekilde erişebilmelisiniz.
Erişim Kontrolü ve Kullanıcı Yönetimi
Grafana, kullanıcılar ve organizasyonlar için kapsamlı erişim kontrolü sunar.
* Anonim Erişimi Devre Dışı Bırakma: Varsayılan olarak, Grafana anonim erişime izin verebilir. Üretim ortamlarında bu genellikle istenmez. /etc/grafana/grafana.ini dosyasında [auth.anonymous] bölümünde enabled = false olarak ayarlayarak anonim erişimi kapatın:
[auth.anonymous]
enabled = false Ardından Grafana hizmetini yeniden başlatın.
* Kullanıcı Rolleri: Kullanıcılara yalnızca ihtiyaç duydukları izinleri verin. Grafana’da Admin, Editor ve Viewer gibi roller bulunur. Yalnızca Grafana’yı yönetmesi gereken kişilere Admin rolü atayın.
* Dış Kimlik Doğrulama: Büyük organizasyonlar için LDAP, OAuth veya SAML gibi dış kimlik doğrulama sistemleriyle entegrasyon düşünün. Bu, kullanıcı yönetimini merkezileştirir ve parola politikalarını zorunlu kılmaya yardımcı olur.
API Anahtarları Güvenliği
Grafana API anahtarları, programatik erişim için kullanılır ve tıpkı parolalar gibi hassas bilgilerdir.
* Minimum Ayrıcalık Prensibi: API anahtarlarına yalnızca yapmaları gereken minimum izinleri verin.
* Düzenli Değişim (Rotation): API anahtarlarını düzenli olarak değiştirin.
* Güvenli Depolama: Anahtarları asla açık metin olarak depolamayın veya kaynak koduna gömmeyin. Ortam değişkenleri veya güvenli bir sır yöneticisi kullanın.
Veritabanı Bağlantı Güvenliği
Grafana, kendi dahili veritabanını (SQLite) kullanabilir veya PostgreSQL/MySQL gibi harici veritabanlarına bağlanabilir. Eğer harici bir veritabanı kullanıyorsanız:
* Güçlü Kimlik Bilgileri: Veritabanı bağlantıları için güçlü, benzersiz kullanıcı adları ve parolalar kullanın.
* Minimum Ayrıcalık: Grafana’nın veritabanı kullanıcısına yalnızca ihtiyaç duyduğu tablolar üzerinde okuma/yazma izinleri verin.
* Şifreli Bağlantılar: Mümkünse, veritabanı bağlantılarını SSL/TLS kullanarak şifreleyin.
Güvenlik Güncellemeleri
Grafana ve Ubuntu işletim sistemi için güvenlik güncellemelerini düzenli olarak takip edin ve uygulayın. Bu, bilinen güvenlik açıklarını kapatmak için hayati öneme sahiptir.
* Grafana Güncellemesi:
sudo apt update
sudo apt upgrade grafana -y
sudo systemctl restart grafana-server* İşletim Sistemi Güncellemeleri:
sudo apt update
sudo apt upgrade -y
sudo apt dist-upgrade -yÇekirdek güncellemeleri sonrası sunucuyu yeniden başlatmayı unutmayın.
Güvenlik Duvarı Yapılandırması
Bir güvenlik duvarı (örneğin UFW – Uncomplicated Firewall) kullanarak sunucunuza gelen trafiği kısıtlayın. Yalnızca gerekli portlara izin verin.
1. UFW’yi Yükleme (yüklü değilse):
sudo apt install ufw -y2. Gerekli Portlara İzin Verme:
* SSH (22): Sunucuya uzaktan erişim için.
* HTTP (80): Nginx’in HTTP isteklerini HTTPS’ye yönlendirmesi için.
* HTTPS (443): Nginx’in güvenli Grafana arayüzü sunması için.
* Grafana (3000): Eğer Nginx kullanmıyorsanız ve doğrudan Grafana’ya erişiyorsanız bu portu açmalısınız. Nginx kullandığımız için 3000 portunu dışarıya açmaya gerek yoktur, sadece localhost’tan erişilebilir olmalıdır.
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx HTTP' # veya sudo ufw allow 80
sudo ufw allow 'Nginx HTTPS' # veya sudo ufw allow 443
# Eğer doğrudan Grafana'ya erişiyorsanız (Nginx olmadan), aşağıdaki satırı ekleyin:
# sudo ufw allow 3000/tcp3. Güvenlik Duvarını Etkinleştirme:
sudo ufw enable Bir uyarı alacaksınız, y tuşuna basarak devam edin.
4. Güvenlik Duvarı Durumunu Kontrol Etme:
sudo ufw statusİzin verdiğiniz kuralları görmelisiniz.
Veri Kaynaklarını Yapılandırma
Grafana’nın temel işlevi, veri kaynaklarından veri çekmek ve görselleştirmektir. Kurulum ve güvenlik adımları tamamlandıktan sonra, Grafana arayüzüne giriş yaparak veri kaynaklarınızı yapılandırmanız gerekir.
1. Giriş Yapın: Grafana arayüzüne https://your_domain.com adresinden yönetici kimlik bilgilerinizle giriş yapın.
2. Veri Kaynakları Menüsüne Gitme: Sol menüde dişli çark simgesine (Configuration) tıklayın ve ardından “Data Sources” seçeneğini seçin.
3. Yeni Veri Kaynağı Ekleme: “Add data source” düğmesine tıklayın.
4. Veri Kaynağı Türünü Seçme: Kullanmak istediğiniz veri kaynağı türünü seçin (örneğin, Prometheus, MySQL, PostgreSQL, InfluxDB vb.).
5. Yapılandırma Detaylarını Girme: Seçtiğiniz veri kaynağına özgü bağlantı detaylarını (URL, kimlik bilgileri, veritabanı adı vb.) girin. Örneğin, Prometheus için Prometheus sunucunuzun URL’sini girmeniz yeterli olacaktır.
6. Kaydet ve Test Et: Bilgileri girdikten sonra “Save & Test” düğmesine tıklayarak bağlantıyı test edin. Başarılı bir bağlantı onayı almalısınız.
Panolar Oluşturma
Veri kaynaklarınızı yapılandırdıktan sonra, verilerinizi görselleştirmek için panolar oluşturmaya başlayabilirsiniz.
1. Yeni Pano Oluşturma: Sol menüde artı (+) simgesine tıklayın ve “Dashboard” seçeneğini seçin. Ardından “Add new panel” düğmesine tıklayın.
2. Sorgu Oluşturma: Panelinizi yapılandırırken, “Query” sekmesinde veri kaynağınızı seçin ve görselleştirmek istediğiniz verileri çekmek için bir sorgu yazın. Sorgu dili, seçtiğiniz veri kaynağına göre değişecektir (örneğin, Prometheus için PromQL, SQL veritabanları için SQL).
3. Görselleştirme Türünü Seçme: “Visualization” sekmesinde, verilerinizi en iyi şekilde sunacak görselleştirme türünü (Graph, Stat, Gauge, Table vb.) seçin.
4. Ayarları Yapılandırma: Görselleştirme ayarlarını (eksen etiketleri, renkler, eşikler vb.) özelleştirin.
5. Paneli Kaydetme: Paneli yapılandırmayı bitirdiğinizde, sağ üst köşedeki kaydet düğmesine tıklayın, panoya bir ad verin ve isteğe bağlı olarak bir klasöre kaydedin.
Sonuç
Bu kapsamlı rehberde, Ubuntu 18.04 sunucunuza Grafana’yı nasıl kuracağınızı ve üretim ortamları için kritik olan güvenlik önlemlerini nasıl uygulayacağınızı adım adım öğrendiniz. Grafana’yı kurarken GPG anahtarı doğrulamasından, APT deposu eklemeye ve sistem hizmeti yönetimini gerçekleştirmeye kadar tüm temel adımları tamamladık.
En önemlisi, varsayılan kimlik bilgilerini değiştirmek, Let’s Encrypt ile SSL/TLS sertifikalarını kullanarak Nginx üzerinden güvenli HTTPS erişimi sağlamak, güvenlik duvarı kurallarını yapılandırmak ve düzenli güvenlik güncellemelerini takip etmek gibi hayati güvenlik uygulamalarını detaylı bir şekilde ele aldık. Bu adımlar, Grafana kurulumunuzu yetkisiz erişime ve veri ihlallerine karşı korumak için vazgeçilmezdir.
Artık Grafana kurulumunuz güvenli bir şekilde çalışır durumda olduğuna göre, veri kaynaklarınızı entegre edebilir, anlamlı panolar oluşturabilir ve sistemlerinizin performansı hakkında değerli içgörüler elde edebilirsiniz. Unutmayın, güvenlik dinamik bir süreçtir ve sürekli izleme, düzenli güncellemeler ve en iyi uygulamaların sürdürülmesi, Grafana kurulumunuzun uzun vadede güvende kalmasını sağlayacaktır.