Grafana MCP : interroger Prometheus avec une IA sans ouvrir l’accès admin

Pourquoi connecter Grafana à MCP ?

Grafana sait déjà interroger Prometheus, Loki, CloudWatch ou Elasticsearch. MCP ajoute une couche conversationnelle : un agent compatible peut demander “quels services consomment le plus de CPU depuis 30 minutes ?”, “quelle alerte est passée firing ?” ou “résume ce dashboard sans me renvoyer tout le JSON”.

Le dépôt officiel grafana/mcp-grafana décrit un serveur MCP pour Grafana donnant accès à l’instance Grafana et à son écosystème. Il liste notamment la recherche de dashboards, les datasources, les requêtes Prometheus, Loki, alerting et certains outils désactivés par défaut.

Architecture recommandée

Le point important : l’agent ne parle pas directement à Prometheus. Il passe par un serveur MCP, lui-même authentifié auprès de Grafana avec un compte de service limité. Grafana reste le point d’accès aux datasources, donc tu conserves les permissions, les dashboards et les pratiques déjà en place.

Prometheus expose aussi une API HTTP stable sous /api/v1. Elle permet les requêtes instantanées /api/v1/query et range /api/v1/query_range. Pour un serveur MCP, cette API est puissante, mais elle doit être bornée : timeouts, limites de séries, requêtes autorisées et plage temporelle maximale.

Mini-lab : tester Grafana MCP en lecture seule

Pré-requis

• Grafana 9+ avec datasource Prometheus configurée.
• Un token de service Grafana dédié avec droits de lecture uniquement.
• Un client MCP compatible : Claude Desktop, Cursor, Codex ou équivalent.
• Un environnement de test, pas une prod client au premier essai.

Configuration MCP client

Le README officiel propose un lancement via uvx mcp-grafana. Exemple de configuration à adapter :

{
  "mcpServers": {
    "grafana": {
      "command": "uvx",
      "args": ["mcp-grafana"],
      "env": {
        "GRAFANA_URL": "https://grafana.example.net",
        "GRAFANA_SERVICE_ACCOUNT_TOKEN": "<token-read-only>"
      }
    }
  }
}

Prompts de test

Liste les datasources Grafana disponibles et identifie celle de type Prometheus.

Résume les dashboards liés à Linux, CPU, mémoire ou disque sans extraire le JSON complet.

Sur la datasource Prometheus, propose une requête PromQL read-only pour voir la charge CPU moyenne sur 15 minutes.

Explique cette alerte Grafana en langage opérationnel et propose 3 vérifications non destructives.

Résultat attendu

L’agent doit pouvoir retrouver les datasources, lire des dashboards, proposer ou exécuter des requêtes Prometheus selon les outils activés, puis résumer les résultats. Il ne doit pas modifier un dashboard, créer une alerte ou manipuler des utilisateurs si ce n’est pas explicitement prévu.

Vérification

# Vérifier côté Grafana que le token utilisé est dédié
# et que ses droits restent limités à la lecture.

# Vérifier côté Prometheus qu'une requête bornée fonctionne :
curl -G 'https://prometheus.example.net/api/v1/query' \
  --data-urlencode 'query=up' \
  --data-urlencode 'limit=20'

Rollback

# 1. Désactiver le serveur MCP côté client
# 2. Révoquer le token de service Grafana
# 3. Vérifier qu'aucune configuration sensible n'a été exposée dans les logs
# 4. Supprimer la configuration MCP locale si le test est abandonné

Sécurité : les limites à poser avant la mise en prod

• Token dédié : jamais de compte personnel ni d’admin global.
• Outils activés au minimum : certains outils Grafana MCP sont désactivés par défaut ; garder cette logique et n’activer que ce qui est utile.
• Requêtes PromQL bornées : limiter plage temporelle, volume de séries, timeout et cardinalité.
• Pas de secrets dans les réponses : vérifier dashboards, variables, annotations et labels sensibles.
• Journalisation : tracer quel client MCP interroge quoi, surtout si le serveur est partagé.

Pour aller plus loin côté architecture MCP, l’article Connecter Claude Code, Cursor ou Codex à une infra Linux avec MCP détaille le lien côté agents. Pour construire un serveur Python interne, voir aussi MCP Python avec FastMCP.

Erreurs fréquentes

FAQ — Grafana MCP et Prometheus MCP