匿名访问适合什么场景
匿名访问允许未登录用户以只读角色浏览看板，典型用途是值班大屏与内网展示：大屏机器不必维护登录会话，页面刷新即可长期运行。开启前要先界定数据边界，确认哪些看板允许被匿名访问，因为一旦开启，所有对该组织可见的看板都会对匿名用户开放。
基本信息
| 配置位置 | grafana.ini 的 [auth.anonymous] 段 |
|---|---|
| 关键参数 | enabled 开关与 org_role 组织角色 |
| 推荐角色 | Viewer，只读即可满足大屏需求 |
| 配套设置 | 关闭自助注册，配合反向代理限制来源 |
配置示例
配置示例
[auth.anonymous]
enabled = true
org_role = Viewer
[users]
allow_sign_up = false典型使用场景
- 值班大屏长期挂着展示核心指标，免去登录过期问题
- 内网会议室或办公区屏幕展示业务看板
- 对外演示环境只开放少数脱敏看板
- 和反向代理配合，只放行只读页面与匿名可见的看板路径
风险与加固
| 风险 | 后果 | 加固手段 |
|---|---|---|
| 看板范围失控 | 内部指标对外可见 | 用文件夹权限圈定匿名可见范围 |
| 角色过高 | 匿名用户可编辑 | org_role 固定为 Viewer |
| 来源不受限 | 公网可直接访问 | 反向代理限制网段与路径 |
| 开启自助注册 | 陌生人可自行注册账号 | 关闭 allow_sign_up |
匿名开启后所有匿名可访问的看板都会暴露，先确认网络边界与内容清单，再决定开启范围与生效的实例。
部署侧配合更稳妥：反向代理限制来源网段并只放行只读路径，匿名访问与网络边界一起收口，比单纯依赖应用内权限可靠。
上线前核对
- 导出一份匿名可见的看板清单，逐块确认内容适合公开
- 配合只读账号与文件夹权限，缩小匿名可达的范围
- 定期复核文件夹权限，避免新建看板误入匿名可见范围
- 变更后从外部网络重新访问一次，确认实际暴露范围与预期一致