Grafana默认用户名和密码均为admin，便于用户快速上手，但存在严重安全风险，如未及时修改可能导致未授权访问、数据泄露、系统完整性受损及合规问题；建议首次登录后立即更改密码，并通过grafana-cli命令行工具重置遗忘的密码；为提升安全性，应禁用默认admin账户、创建新管理员账号，并在grafana.ini中配置allow_sign_up=false等策略，强化整体安全防护。
Grafana的默认用户名是
admin，默认密码同样也是
admin。这几乎是所有Grafana新用户首次接触时会遇到的，也是我们配置和使用Grafana的第一步，但它背后蕴含的安全考量，远比我们想象的要多。
当我们初次安装Grafana，无论是通过包管理器、Docker容器还是直接部署，它都会自带一个预配置的管理员账户。这个账户正是我们熟悉的
admin/admin组合。我个人觉得，这种设计初衷是为了极大地方便用户，让大家能够迅速上手，省去了复杂的初始设置环节。然而，这种便利性也带来了一个显而易见的安全隐患——如果这个默认密码没有及时修改，你的Grafana实例就如同敞开大门，任何人只要知道其网络地址，都可能轻易登录并访问甚至篡改你的监控仪表盘和数据源。这可不是小事，尤其是在生产环境中，数据安全和系统稳定性至关重要。因此，我的建议是，首次登录后，无论如何都要立即更改这个默认密码，并且选择一个足够复杂、独特的密码，这是最基本的安全实践。
Grafana默认密码忘记了怎么办？
这绝对是一个非常普遍的问题，几乎每个运维或开发人员都可能遇到。如果你不小心忘记了
admin账户的密码，或者其他任何用户的密码，Grafana其实提供了一套命令行工具来帮助我们重置。通常情况下，你需要登录到运行Grafana的服务器上，才能执行这些操作。
最常用的工具就是
grafana-cli。你可以通过以下命令来重置
admin用户的密码：
grafana-cli admin reset-admin-password
举个例子，如果你想把密码设置为
MySuperStrongP@ssw0rd，那么命令就是：
grafana-cli admin reset-admin-password MySuperStrongP@ssw0rd
执行完这个命令后，为了让修改生效，通常需要重启Grafana服务。在大多数Linux系统上，这可能意味着运行
sudo systemctl restart grafana-server。如果你的Grafana是跑在Docker容器里的，那么你需要先进入容器内部（例如
docker exec -it），然后再执行bash
grafana-cli命令，之后可能还需要重启容器或者容器内的Grafana进程。这个方法直接修改了Grafana的数据库，所以它非常有效，能够绕过登录界面，直接解决密码丢失的问题。
为什么Grafana默认用户名密码是admin/admin，以及安全风险？
在我看来，
admin/admin作为默认凭据，主要是为了提供一种“开箱即用”的体验。设想一下，如果每次安装完都要经历一个复杂的初始设置流程，那无疑会增加用户的学习成本和部署时间。这种简单性在快速原型开发、测试环境或者个人使用时，确实能带来很大的便利。
但这种便利性背后，隐藏着巨大的安全风险，这是我们不能忽视的：
-
未经授权的访问： 这是最直接的风险。任何知道你的Grafana实例IP地址或域名的人，只要稍微尝试一下，就能猜到
admin/admin
并获得完全控制权。这意味着他们不仅能查看敏感的监控数据，还能随意修改仪表盘、创建或删除用户，甚至更改数据源配置。想想看，如果你的生产环境性能数据、用户行为分析数据被随意查看甚至篡改，后果不堪设想。 - 数据泄露或篡改： Grafana通常连接着各种数据源，比如Prometheus、InfluxDB、MySQL等。一旦被未授权访问，攻击者可能通过这些连接获取到更多关于你的基础设施、应用程序性能乃至客户数据（如果仪表盘展示了这些信息）的敏感情报。更糟糕的是，他们甚至可能通过Grafana的接口向数据源写入恶意数据。
- 系统完整性受损： 攻击者可以删除关键的告警规则，让系统在出现问题时无法及时通知，或者故意篡改仪表盘，制造虚假信息。在某些极端情况下，如果Grafana所在的服务器权限配置不当，攻击者甚至可能利用Grafana作为跳板，进一步攻击内网的其他系统。
-
合规性问题： 许多行业标准和法规（如GDPR、HIPAA、ISO 27001）都明确要求企业遵循严格的密码策略，并禁止使用默认凭据。将
admin/admin
暴露在外，无疑会带来严重的合规性风险，可能导致罚款或声誉受损。
所以，这在我看来是一个经典的易用性与安全性之间的权衡。对于任何正式的生产环境，甚至是包含敏感数据的开发测试环境，立即修改这个默认密码，是没有任何商量余地的。
如何配置Grafana强制用户修改默认密码或禁用默认admin账户？
Grafana本身提供了一些配置选项，可以帮助我们提升安全性，而不仅仅是手动修改密码。这些配置主要集中在
grafana.ini这个核心配置文件中（通常位于
/etc/grafana/grafana.ini，或者在Docker部署时通过卷挂载）。
要强制新创建的用户在首次登录时修改密码，你可以在
grafana.ini文件的
[users]部分进行配置。例如，你可以设置新用户的默认组织角色：
[users] # 允许用户注册，默认为 true。在生产环境中通常建议设置为 false。 allow_sign_up = false # 新用户注册后默认分配的组织角色。 # auto_assign_org_role = Viewer
虽然Grafana没有一个直接的配置项能强制初始的
admin/admin用户在首次登录时就修改密码，但最佳实践是：我们手动登录后立即修改。
更进一步的安全措施是禁用默认的admin
账户。这个做法在生产环境中非常推荐，因为它能避免依赖一个通用且容易被猜测的账户。具体步骤如下：
- 首先，使用
admin/admin
登录Grafana。 - 然后，创建一个新的管理员账户，比如
my_super_admin
，并确保赋予其admin
角色。 - 接下来，退出当前
admin
账户，并使用新创建的my_super_admin
账户登录。 - 进入Grafana的
Server Admin
（服务器管理）界面，找到Users
（用户）列表，找到最初的admin
用户，然后选择禁用它。
通过禁用默认的
admin账户，你可以确保所有管理操作都通过一个具有明确身份的新管理员账户进行，这有助于审计追踪，也避免了通用账户可能带来的风险。
另外，前面提到的
allow_sign_up = false配置也非常关键，它能阻止任何人在未经管理员许可的情况下自行注册账户，确保了用户管理的集中性和安全性。
这些配置措施，如果能结合起来使用，无疑能让你的Grafana实例变得更加安全。安全从来都不是一蹴而就的，它需要我们从多个层面、多个角度去构建和维护。
