配置 grafana 白名单需按部署方式区分：托管服务（如腾讯云）通过控制台白名单页面直接填写ip或cidr段；自建实例则需修改配置文件限制监听地址，并配合反向代理或防火墙实现ip过滤，且白名单仅控制访问权限，不替代grafana内部角色权限体系。

配置 Grafana 白名单，核心是限制哪些 IP 能访问 Grafana 的 Web 界面（即监控大盘页面），防止未授权访问。具体方式取决于你部署 Grafana 的环境：托管服务（如腾讯云 Prometheus 实例）或自建实例（如 Docker、二进制部署）。下面分两种常见场景说明。

托管平台（如腾讯云可观测平台）

如果你使用的是腾讯云 Prometheus 监控服务中集成的 Grafana 实例，白名单由平台统一管控，无需修改 Grafana 配置文件：

HTML5主机托管服务公司网站模板

HTML5主机托管服务公司网站模板是一款从事主机托管服务公司宣传网站模板下载。提示：本模板调用到谷歌字体库，可能会出现页面打开比较缓慢。

下载

• 登录 腾讯云可观测平台控制台 → 进入对应 Prometheus 实例
• 左侧菜单选择 Grafana → 进入管理页后，点击 白名单（WhiteList）
• 单击文本框下方的 编辑 按钮
• 在文本框中逐行填写允许访问的 IP 或 CIDR 段，例如：
  192.168.10.5
  10.0.0.0/16
  2001:db8::/32
• 填写完毕后点击 保存，策略立即生效

自建 Grafana（Docker / 二进制部署）

自建环境需手动配置 Grafana 的 ini 文件，并配合系统防火墙（如 iptables/firewalld）或反向代理（如 Nginx）实现更细粒度控制：

• 编辑 Grafana 配置文件 conf/defaults.ini 或 conf/custom.ini
• 在 [server] 区块下添加或修改：
  http_addr = 127.0.0.1
  http_port = 3000
  这样可让 Grafana 只监听本地回环地址，再通过反向代理做前置访问控制
• 在反向代理（如 Nginx）中配置 IP 白名单规则，例如：
  allow 192.168.20.0/24;
  deny all;
• 若必须开放 Grafana 直连端口（如 3000），则需在系统防火墙中放行指定 IP：
  iptables -A INPUT -p tcp --dport 3000 -s 192.168.30.100 -j ACCEPT
  iptables -A INPUT -p tcp --dport 3000 -j DROP

补充说明：白名单 ≠ 权限控制

IP 白名单只管“谁能连上”，不管“能看什么”。真正决定用户能看到哪些大盘、能否编辑的，是 Grafana 内部的权限体系：

• 用户必须先有组织角色（Viewer / Editor / Admin）
• 推荐按职能建团队（如 “DBA-Team”），再批量授予文件夹级权限
• 敏感仪表盘应单独设置权限，不依赖继承
• 若开启匿名访问（auth.anonymous.enabled = true），仍需在仪表盘或文件夹权限中显式授权给 Anonymous 用户