Grafana MCP server

Grafana MCP server 是 Grafana Labs 官方维护的 Model Context Protocol 服务器，把仪表盘、数据源、指标、日志、告警和事件等可观测性对象连接到 AI 客户端。它既适合开发者让 Agent 辅助定位线上问题，也能服务平台团队的仪表盘巡检和告警工作流。真正的安全边界仍在 Grafana RBAC、服务账号令牌与部署网络上：建议从只读、禁查询或最少工具集合开始，而不是直接授予 Editor 等宽泛角色。

优先按 README 使用 uvx 与 STDIO 连接。先在 Grafana 中创建用途单一、权限最小的服务账号令牌，再把 GRAFANA_URL 和令牌放入客户端环境配置；首次接入建议启用 --disable-write，必要时再用 --disable-query 或工具分类开关继续收窄。

请帮我安全连接 Grafana MCP server。项目地址：https://github.com/grafana/mcp-grafana。先阅读 README.md、CHANGELOG.md、LICENSE、Grafana 组织 SECURITY.md、server.json 和最新 v1.3.0 Release，确认目标 Grafana 为 9.0+。优先使用 README 的 uvx + STDIO 配置，不要覆盖已有 MCP 设置，也不要把任何令牌写入聊天、日志或版本库。请让我提供目标 GRAFANA_URL，并指导我在 Grafana 创建用途单一、最小权限的服务账号令牌；先以 --disable-write 启动，如当前任务只需要发现元数据则同时使用 --disable-query。遇到安装依赖、访问外部网络、扩大 Grafana RBAC、启用写入或查询工具、转发请求头、开放 SSE/HTTP 监听、配置弱 TLS 或输出调试日志时先说明风险并征得同意。安装后先核对服务器握手、工具列表和 user_info，再只读取测试仪表盘摘要；不要对生产对象执行首次写入验证。

{
  "mcpServers": {
    "grafana": {
      "command": "uvx",
      "args": ["mcp-grafana"],
      "env": {
        "GRAFANA_URL": "http://localhost:3000",
        "GRAFANA_SERVICE_ACCOUNT_TOKEN": "<your service account token>"
      }
    }
  }
}

1. 1
   划定数据与操作边界

   列出 Agent 需要查看的 Grafana 组织、文件夹、数据源和操作；若只做发现和诊断，先决定启用 --disable-write，必要时再加 --disable-query。

2. 2
   创建最小权限服务账号

   在目标 Grafana 为这项用途创建独立服务账号，只授予必需的数据源查询、仪表盘读取或告警权限；不要复用管理员个人令牌。

3. 3
   写入 uvx STDIO 配置

   在客户端的 mcpServers 中使用 command `uvx`、args `["mcp-grafana"]`，并通过 env 设置 GRAFANA_URL 和服务账号令牌。保存前检查不会覆盖其他服务器配置。

4. 4
   执行只读最小验证

   重启客户端后确认工具列表，先调用 user_info、search_dashboards 和 get_dashboard_summary；核对实例、组织与返回范围后，再逐步开放查询或写入类别。

Grafana MCP server 的价值不只是工具数量，而是它由 Grafana 官方维护，并把仪表盘、指标、日志和响应流程放在同一 MCP 边界中。README 对安装、RBAC、只读模式、查询隔离和网络传输安全给出了可执行说明，近期版本仍在加强多组织、查询控制与安全修复。采用时应从最小权限服务账号和只读工具集开始；本条结论基于公开资料核验，不代表真实环境实测。