Grafana (logs)¶

Visualisation des logs centralises (Loki + Alloy). Pas de metriques : c'est Beszel qui s'en occupe, pour eviter le doublon Prometheus + node_exporter.

Acces¶

Authentification¶

100% OIDC Authelia — pas de compte admin local, pas de login form.

• GF_AUTH_DISABLE_LOGIN_FORM=true
• GF_AUTH_BASIC_ENABLED=false
• GF_AUTH_OAUTH_AUTO_LOGIN=true (redirige direct sur Authelia)
• PKCE S256 requis

Role mapping (Grafana 12.x)¶

GF_AUTH_GENERIC_OAUTH_ROLE_ATTRIBUTE_PATH: "contains(groups[*], 'admins') && 'GrafanaAdmin'"
GF_AUTH_GENERIC_OAUTH_ROLE_ATTRIBUTE_STRICT: "false"
GF_AUTH_GENERIC_OAUTH_ALLOW_ASSIGN_GRAFANA_ADMIN: "true"

Groupe admins dans Authelia users_database.yml → GrafanaAdmin (server admin + org admin). Les users hors du groupe admins recoivent auto_assign_org_role: Viewer.

Piege Grafana 12.x : role_attribute_path est evalue sur le ID token EN PREMIER, puis userinfo, puis access token. Authelia ne met PAS le claim groups dans le ID token (seulement dans userinfo). Si l'expression a un fallback || 'Viewer', le ID token retourne 'Viewer' (role valide) et Grafana ne consulte JAMAIS le userinfo. Solution : pas de fallback dans l'expression, le ID token retourne null → fallthrough vers userinfo → trouve les groups.

Le compte legacy admin est desactive dans la DB (is_disabled=1, password efface). gabins est is_admin=1 + org Admin.

Datasources¶

Provisionnee via /opt/logs/grafana-provisioning/datasources/loki.yml avec uid: loki pour que les dashboards la trouvent.

Dashboards¶

Quatre dashboards provisionnes via /opt/logs/dashboards/*.json (read-only), folder Grafana Homelab. Tous les KPI stats utilisent [$__range] et suivent le selecteur de temps Grafana.

Homelab Overview (homelab-overview)¶

Le dashboard du matin — 5 secondes pour savoir si tout va bien.

Securite (auth-security)¶

Deep dive quand un signal securite clignote sur l'overview.

Trafic (traefik-access)¶

Deep dive sur le trafic HTTP via Traefik.

Logs Explorer (logs-explorer)¶

Recherche libre avec filtres. Variables : Host, Job, Container, Recherche texte.

Architecture¶

graph LR
    subgraph "penny / galahad / lancelot"
        Alloy[Grafana Alloy]
    end

    subgraph "LXC 101 logs"
        Loki
        Grafana
    end

    Alloy -->|push| Loki
    Grafana -->|query| Loki
    Browser -->|logs.home...| Traefik
    Traefik -->|OIDC| Authelia
    Traefik -->|forward| Grafana

Sources des logs (Alloy)¶

Retention Loki : 30 jours.

Operations¶

Ajouter un dashboard¶

Depose le JSON dans /mnt/ssd/config/logs/dashboards/ (source sur penny), puis deploie via Tailscale SSH + pct push :

# Deployer chaque dashboard sur le LXC 101 (logs sur lancelot)
for f in /mnt/ssd/config/logs/dashboards/*.json; do
    tailscale ssh root@lancelot "pct push 101 /dev/stdin /opt/logs/dashboards/$(basename $f)" < "$f"
done
echo "Deploye — Grafana recharge automatiquement (updateIntervalSeconds: 60)"

Reset du compte admin (en cas d'urgence)¶

Si Authelia est down ET qu'il faut acceder a Grafana, passer en mode basic temporairement :

# Dans le LXC 101
docker stop grafana
# Editer /opt/logs/docker-compose.yml :
#   GF_AUTH_DISABLE_LOGIN_FORM: "false"
#   GF_AUTH_BASIC_ENABLED: "true"
#   GF_SECURITY_ADMIN_PASSWORD: "<one-shot>"
docker compose up -d grafana
# Apres intervention : retirer les 3 env vars et redeployer

Credentials¶