Grafana mit Claude verbinden

Der MCP-Server von Grafana ist ein Programm, das man selbst starten, absichern und aktuell halten muss. Für Claude im Browser oder auf dem Smartphone braucht er eine feste Adresse mit Anmeldung – meist endet das mit einem geheimen Schlüssel in der URL, den sich das ganze Team teilt. XenMCP übernimmt das: Sie hinterlegen die Adresse Ihrer Grafana und ein Token, wir starten den Server in einer isolierten Umgebung und Sie erhalten eine Adresse wie https://ihre-firma-grafana.xenmcp.com/mcp mit OAuth – jede Person meldet sich selbst an.

Über einen Server erreicht Claude alle Datenquellen Ihrer Grafana: Loki (Logs Ihrer Container), Prometheus (Metriken), Dashboards und Alarme.

Ihre Grafana muss nicht für das ganze Internet offen sein: XenMCP verbindet sich von einer festen IP-Adresse. Standard ist der Lesemodus – Claude kann suchen und auswerten, aber keine Dashboards, Alarme oder Incidents ändern.

Was Sie Claude fragen können

• Warum ist der Container api heute Nacht neu gestartet? Zeig mir die Fehler in den Logs davor.
• Welche Fehler kamen in der letzten Stunde am häufigsten vor, gruppiert nach Dienst?
• Wie haben sich CPU und Speicher des Servers in den letzten 24 Stunden entwickelt?
• Welche Alarme haben diese Woche ausgelöst, und wie oft?
• Finde das Dashboard für die Datenbank und fasse zusammen, was gerade auffällig ist.

Typische Werkzeuge

query_loki_logs

Logs mit LogQL abfragen (Zeilenzahl begrenzt)

list_loki_label_names / values

Verfügbare Labels der Logs anzeigen, etwa Container oder Dienst

query_prometheus

Metriken mit PromQL abfragen

list_datasources

Datenquellen der Grafana anzeigen

search_dashboards / get_dashboard

Dashboards finden und lesen

list_alert_rules

Alarmregeln und ihren Zustand anzeigen

Dashboards, Alarme, Incidents ändern

Gesperrt (--disable-write), standardmäßig aus

Was Sie zum Verbinden brauchen

• Die Adresse Ihrer Grafana (https://grafana.ihre-firma.de)
• Ein Token eines Service-Accounts mit der Rolle Viewer
• Freigabe der festen IP-Adresse von XenMCP in Firewall oder Reverse Proxy
• Optional: welche Datenquellen Claude sehen darf

Sicherheit

• Zweifach nur lesend: ein Service-Account mit der Rolle Viewer und der Server im Modus --disable-write. Auch ein Fehler auf einer Seite erlaubt keine Änderungen.
• Keine offene Grafana nötig: Freigabe nur für die feste IP von XenMCP.
• Jede Person meldet sich selbst per OAuth an; wer das Team verlässt, verliert den Zugang, ohne dass Sie das Token wechseln müssen. Kein geteilter Schlüssel in der URL.
• Das Token wird verschlüsselt gespeichert (AES-256-GCM), nicht wieder angezeigt und nie protokolliert.
• Logs können personenbezogene Daten enthalten (IP-Adressen, E-Mails). Die Ergebnisse gehen an Ihren KI-Client; schränken Sie per Viewer-Rechten ein, welche Datenquellen sichtbar sind.
• Im Protokoll stehen nur Werkzeug, Status und Dauer – keine Abfragen und keine Ergebnisse.

Grundlage

Wir setzen auf den offenen Server Grafana MCP server (Apache-2.0), bauen das Image selbst aus einer festen Version und prüfen die Beschreibungen der Werkzeuge vor der Freigabe.

Häufige Fragen