直接开启匿名访问并设为viewer角色即可实现物理大屏免登录只读展示，关键在于配置稳定、内容完整与安全可控。需正确启用auth.anonymous、隔离专用组织、规避前端掉线、收敛网络访问并审计日志。
直接开启匿名访问并设为 Viewer 角色，就能让物理大屏免登录、只读展示 Grafana 仪表板。关键不在“能不能开”，而在“开得稳不稳、看得全不全、安不安全”。下面分四块说清楚。
一、核心配置：启用匿名访问并锁定角色
编辑 Grafana 主配置文件 /etc/grafana/grafana.ini，定位到 [auth.anonymous] 区块，确保以下三项明确启用：
- enabled = true —— 必须打开，否则匿名用户进不来
- org_name = Main Org.（或你实际使用的组织名）—— 匿名用户将自动归属该组织，所有可看内容必须在此组织下
- org_role = Viewer —— 严格限制为只读，无法编辑面板、修改变量、新增数据源或导出敏感元数据
注意：org_name 必须与 Grafana UI 中“Configuration > Organizations”里存在的组织名称完全一致（区分大小写和空格），否则匿名用户会因组织不存在而被重定向到登录页。
二、大屏专用组织隔离（推荐）
不建议把匿名访问直接开在默认组织（Main Org.）上，尤其当生产环境已有其他 Editor/Admin 用户时。更稳妥的做法是：
Teleport tsh SSH (Identity-First SSH Access, no passwords/static keys)
下载
使用tbot机器ID身份文件配合tsh CLI，通过Teleport访问控制SSH登录托管主机或执行远程命令。
- 新建一个专用组织，例如命名为 dashboards-ops-display
- 将所有需上大屏的 Dashboard 全部移动或复制到该组织中（可通过 Dashboard Settings > Sharing > Copy to another org）
- 在
grafana.ini中将org_name改为这个新组织名 - 该组织内不添加任何真实用户，仅靠匿名访问生效
好处：权限收口干净，后续增删大屏内容不影响其他团队；即使误配了其他权限，也局限在该组织内。
三、保障大屏长期可用的关键细节
物理大屏通常由 Chrome/Kiosk 模式浏览器 7×24 小时运行，需规避常见掉线或白屏问题：
-
禁用前端超时登出：在
[users]区块设default_theme = dark和allow_sign_up = false；在[auth]下加login_cookie_timeout = 86400（24小时），但匿名用户不依赖 cookie，此项主要防后台管理误触 -
关闭未授权跳转干扰：确认
[server]中root_url配置正确（如http://192.168.10.50:3000/），且大屏浏览器访问地址与之完全一致，否则可能因路径重写导致资源加载失败 -
预加载关键插件：若使用 Pie Chart、Gauge、Status Dot 等非内置面板，确保对应插件已安装并启用（
grafana-cli plugins install grafana-piechart-panel），匿名用户无权安装插件
四、安全与可观测底线要求
匿名开放 ≠ 无防护。机房大屏虽在内网，仍需守住两条线：
-
网络层收敛：通过防火墙或安全组，仅放行大屏终端 IP 或机房网段（如
192.168.10.0/24）访问 Grafana 的 3000 端口，拒绝公网及非必要子网 -
审计留痕：启用日志记录，在
[audit_log]下设enabled = true，并确保日志落盘或接入中心日志系统。匿名用户的访问行为（如 Dashboard 加载、变量切换）会被标记为user=Anonymous，便于事后回溯 - 数据源权限再检查：确认所用数据源（如 Prometheus、MySQL 只读账号）本身不暴露敏感字段；特别是 MySQL 类数据源，务必使用最小权限账号（仅 SELECT 监控库 + INFORMATION_SCHEMA.TABLES/COLUMNS），避免匿名用户间接拖库
配置完成后执行 systemctl restart grafana-server，用隐身窗口访问 http://[grafana-ip]:3000 验证是否跳过登录、能否正常加载目标 Dashboard、右上角显示 “Anonymous (Viewer)” 即可投入大屏使用。
