Состоялся релиз Prometheus JMX Exporter 1.6.0 — нового выпуска популярного инструмента, предназначенного для сбора значений JMX MBean из Java-приложений и последующей выдачи их в виде метрик Prometheus. При соответствующей конфигурации этот экспортёр также способен передавать собранные данные через OpenTelemetry. Исходный код программного обеспечения распространяется под свободной лицензией Apache-2.0.
Инструмент можно задействовать в нескольких рабочих режимах: в качестве стандартного Java-агента внутри целевой виртуальной машины Java (JVM), как автономный (standalone) экспортёр для опроса удалённых интерфейсов JMX/RMI, а также в роли изолирующего Java-агента для одновременной работы нескольких изолированных экспортёров в рамках одной JVM. В официальной документации использование Java-агента рекомендуется как оптимальный вариант для подавляющего большинства инженеров, поскольку он избавляет от необходимости дополнительно настраивать удалённый доступ через JMX/RMI.
Что изменилось в версии 1.6.0
Настраиваемый путь метрик. Появилась долгожданная возможность задавать произвольный HTTP-путь, по которому экспортёр отдаёт собранные метрики. Данное нововведение крайне полезно в инфраструктурных окружениях, где стандартный endpoint /metrics уже занят другими сервисами, где сетевая маршрутизация подчиняется строгим правилам ingress и service mesh, либо когда сразу несколько экспортёров публикуются наружу через единый обратный прокси-сервер.
Защита от атак по времени. Разработчики существенно усилили защиту против атак по времени (timing-based password attacks). Речь идет об эффективном снижении рисков, при которых злоумышленник пытается подобрать пароль к системе мониторинга, анализируя малейшие различия во времени ответа сервера при проверке различных комбинаций символов.
Исправления PBKDF2-аутентификации. Была устранена ошибка в расчёте длины в битах для методов аутентификации на базе алгоритма PBKDF2. В предыдущих версиях этот изъян мог потенциально влиять на корректность проверки паролей при использовании соответствующих схем хеширования (в самом списке изменений релизного цикла этот пункт указан как PKDF2, однако по техническому контексту аутентификации речь идет именно о защищенном стандарте PBKDF2).
Корректировка LRU-кеширования. Инженеры внесли важные исправления в механизм кеширования результатов аутентификации на основе LRU. Учитывая, что система мониторинга Prometheus опрашивает целевые компоненты часто и в параллельном режиме, стабильная работа такого кеша критически важна как для поддержания высокой производительности, так и для предсказуемого поведения подсистемы авторизации.
Обновлённая документация. Руководство пользователя для версии 1.6.0 было полностью актуализировано. Теперь в нём подробно описаны назначение инструмента, доступные режимы развёртывания, быстрый старт, тонкая конфигурация YAML, сетевые и HTTP-настройки, параметры аутентификации, SSL, интеграция с OpenTelemetry, а также приведены наглядные примеры. Отдельной секцией выведен список всех артефактов нового релиза.
Актуализация зависимостей. В состав пакета вошли многочисленные обновления внешних библиотек и зависимостей. Для любого инфраструктурного компонента мониторинга это важнейшая часть регулярного сопровождения: подобные апдейты закрывают накопившиеся уязвимости, улучшают общую совместимость с современным софтом и минимизируют риски возникновения сбоев в цепочке поставки ПО.
Общая чистка проекта и тесты. Команда авторов провела большую работу по улучшению документации кода (Javadoc), значительно увеличила покрытие кодовой базы тестами, расширила набор unit-тестов и доработала интеграционные сценарии. Кроме того, в репозиторий добавили дополнительные контейнеры и дистрибутивы, упрощающие проведение глубокого интеграционного тестирования.
В текущем виде Prometheus JMX Exporter 1.6.0 представляет собой классический и крайне полезный эксплуатационный релиз. Он не содержит радикальных архитектурных перестроек, но предлагает массу востребованных улучшений для стабильной работы в production-окружениях — от гибкой настройки путей до усиленной безопасности и надежной тестовой базы.
