Linux下部署Grafana Mimir实现多租户隔离需统一注入X-Scope-OrgID租户头、MinIO按租户建桶并配IAM策略隔离、Mimir启用-auth.enabled=true等多租户参数，Grafana组织与租户ID严格对齐。
在 Linux 下部署 Grafana Mimir 实现多租户隔离的指标存储，核心在于三件事：租户标识统一注入、对象存储（如 MinIO）权限隔离、以及查询/写入路径的严格租户绑定。它不是靠 Linux 用户账户或文件系统权限来隔离，而是靠 Mimir 自身的多租户机制 + 外部对象存储的命名空间控制来落地。
租户 ID 必须从请求头透传
Mimir 不识别 Linux 系统用户，也不依赖数据库账号。它只认 HTTP 请求中的 X-Scope-OrgID 头。所有写入和查询请求都必须携带这个头，值就是租户唯一标识（例如 finance-prod 或 devops-staging）。
- Prometheus remote_write 配置中需显式设置
headers：
remote_write:
- url: http://mimir:9009/api/v1/push
headers:
X-Scope-OrgID: finance-prod- Grafana 数据源配置里也要填租户 ID（在 “HTTP” 页签下 → “Custom HTTP headers” → Key=
X-Scope-OrgID, Value=finance-prod）； - 若用 Grafana Agent，其
prometheus.remote_write段同样要加 headers； - 不带该头的请求会被拒绝（默认行为），或落入默认租户（需显式配置
-multitenancy.default-tenant-id才启用）。
MinIO 按租户建桶 + 策略隔离
Mimir 本身不管理对象存储权限，它把数据按租户 ID 写入不同前缀路径（如 tenant-id/.../chunks）。但真正的租户间物理隔离，靠 MinIO 的 桶（bucket）+ IAM 策略 实现。
- 为每个租户创建独立桶，命名建议与租户 ID 一致（如
tenant-finance-prod）； - 在 MinIO 控制台或 mc CLI 中，为每个租户创建专属 Access Key，并绑定最小权限策略，只允许读写对应桶；
- Mimir 配置中指定该租户专用的 S3 endpoint、access key、secret key 和 bucket 名 —— 这样不同租户的数据就天然落在不同桶里，互不可见；
- 避免使用共享桶 + 路径前缀，那只是逻辑隔离，不符合强安全要求。
组件配置需启用多租户开关
Mimir 默认开启多租户，但关键参数不能遗漏：
-
-auth.enabled=true（必须开启认证层，否则租户头会被忽略）； -
-ingester.ring.replication-factor=3（复制因子保障租户数据高可用）； -
-storage.backend=s3且配套配置-s3.url、-s3.bucket-name等 —— 注意：这些是全局配置，实际租户级桶名需通过-s3.tenant-bucket-map-file文件映射，或更推荐的方式：为每个租户部署独立 Mimir 实例（轻量级单二进制），各自连自己的 MinIO 桶； - 若共用一个 Mimir 实例，则必须用
-s3.tenant-bucket-map-file指向 JSON 文件，内容形如：{"finance-prod":"tenant-finance-prod","devops-staging":"tenant-devops-staging"}。
Grafana 侧组织与租户对齐
前端看板隔离靠 Grafana Organization，但它需与 Mimir 租户联动才完整：
- 在 Grafana 中为每个部门/团队创建 Organization（如
Finance），并确保其用户只属于该组织； - 该 Organization 内配置的 Mimir 数据源，必须设置 X-Scope-OrgID 头为对应租户 ID（如
finance-prod）； - 仪表盘保存后自动绑定到当前 Organization，不会跨组织泄露；
- 这样，Finance 团队登录 Grafana 只能看到自己 Organization 的看板，而这些看板查的全是
finance-prod租户的数据 —— 前后端双重隔离闭环完成。
