Guía de implementación de Tableau Server Enterprise

Configurar SSL/TLS desde el equilibrador de carga a Tableau Server

Algunas organizaciones requieren un canal de cifrado de un extremo a otro desde el cliente hasta el servicio de back-end. La arquitectura de referencia predeterminada, como se describe hasta este punto, especifica SSL desde el cliente hasta el equilibrador de carga que se ejecuta en el nivel web de su organización.

Esta sección describe cómo configurar SSL/TLS para Tableau Server y la puerta de enlace independiente en la arquitectura de referencia de AWS de ejemplo. Para ver un ejemplo de configuración que describe cómo configurar SSL/TLS en Apache en la arquitectura de referencia de AWS, consulte Ejemplo: Configurar SSL/TLS en la arquitectura de referencia de AWS.

En este momento, TLS no es compatible con los procesos backend de Tableau Server que se ejecutan en el rango 8000-9000. Para habilitar TLS, debe configurar la puerta de enlace independiente con una conexión de retransmisión a Tableau Server.

Este procedimiento describe cómo habilitar y configurar TLS en una puerta de enlace independiente a Tableau Server y Tableau Server a una puerta de enlace independiente. El procedimiento cifra el tráfico de retransmisión a través de HTTPS/443 y el tráfico de limpieza a través de HTTPS/21319.

Los procedimientos de Linux a lo largo de este ejemplo muestran comandos para distribuciones similares a RHEL. Específicamente, los comandos aquí se han desarrollado con la distribución de Amazon Linux 2. Si está ejecutando distribuciones de Ubuntu, edite los comandos según corresponda.

La guía aquí es prescriptiva para la arquitectura de referencia de ejemplo específica de AWS como se presenta en esta guía. Por lo tanto, las configuraciones opcionales no están incluidas. Para obtener documentación de referencia completa, consulte Configuración de TLS en una puerta de enlace independiente (Linux(El enlace se abre en una ventana nueva)).

Antes de configurar TLS

Realice las configuraciones de TLS fuera del horario comercial. La configuración requiere al menos un reinicio de Tableau Server. Si está ejecutando una implementación completa de arquitectura de referencia de cuatro nodos, el reinicio puede llevar un tiempo.

• Verifique que los clientes puedan conectarse a Tableau Server a través de HTTP. La configuración de TLS con puerta de enlace independiente es un proceso de varios pasos y puede requerir la resolución de problemas. Por lo tanto, recomendamos comenzar con una implementación de Tableau Server completamente operativa antes de configurar TLS.

• Recopile certificados TLS/SSL, claves y activos relacionados. Necesitará certificados SSL para las puertas de enlace independientes y para Tableau Server. Para simplificar la administración y la implementación de certificados, y como práctica recomendada de seguridad, recomendamos usar certificados generados por una autoridad de certificación (CA) de terceros de confianza. Como alternativa, puede generar certificados autofirmados o usar certificados de una PKI para TLS.

  La configuración de ejemplo de este tema utiliza los siguientes nombres de recursos a modo de ilustración:

  • tsig-ssl.crt: El certificado TLS/SSL para la puerta de enlace independiente.
  • tsig-ssl.key: La clave privada para tsig-ssl.crt en la puerta de enlace independiente.
  • ts-ssl.crt: El certificado TLS/SSL para Tableau Server.
  • ts-ssl.key: La clave privada para tsig-ssl.crt en Tableau Server.
  • tableau-server-CA.pem: El certificado de raíz para la CA que genera el certificado presentado por los equipos de Tableau Server. Por lo general, este certificado no es necesario si utiliza certificados de terceros de confianza importantes.
  • rootTSIG-CACert.pem: El certificado raíz de la CA que genera los certificados para los equipos de la puerta de enlace independiente. Por lo general, este certificado no es necesario si utiliza certificados de terceros de confianza importantes.
  • Hay otros certificados y recursos de archivos clave necesarios para SAML que se detallan en la Parte 5 de esta guía.
  • Si su implementación requiere el uso de un archivo de cadena de certificados, consulte el artículo de la base de conocimientos Configurar TLS en una puerta de enlace independiente al usar un certificado que tiene una cadena de certificados(El enlace se abre en una ventana nueva).

• Verifique que tiene acceso a IdP. Si utiliza un IdP para la autenticación, es probable que deba realizar cambios en las direcciones URL de destinatario y destino en el IdP después de haber configurado SSL/TLS.

Configurar equipos de la puerta de enlace independiente para TLS

La configuración de TLS puede ser un proceso propenso a errores. Dado que la solución de problemas en dos instancias de la puerta de enlace independiente puede llevar mucho tiempo, recomendamos habilitar y configurar TLS en la implementación de EDG con solo una puerta de enlace independiente. Una vez que haya validado que TLS funciona en toda la implementación, configure el segundo equipo de puerta de enlace independiente.

Paso 1: Distribuir certificados y claves al equipo de puerta de enlace independiente

Puede distribuir los activos a cualquier directorio arbitrario siempre que el usuario tsig-httpd tenga acceso de lectura a los archivos. Las rutas a estos archivos se mencionan en otros procedimientos. Usaremos las rutas de ejemplo bajo/etc/ssl , como se muestra a continuación, a lo largo del tema.

1. Crear directorio para clave privada:

   sudo mkdir -p /etc/ssl/private

2. Copie los archivos de certificado y de clave en las rutas /etc/ssl. Por ejemplo:

   sudo cp tsig-ssl.crt /etc/ssl/certs/

   sudo cp tsig-ssl.key /etc/ssl/private/

3. (Opcional) Si usa un certificado PKI o autofirmado para SSL/TLS en Tableau Server, también debe copiar el archivo del certificado raíz de CA en el equipo de la puerta de enlace independiente. Por ejemplo:

   sudo cp tableau-server-CA.pem /etc/ssl/certs/

Paso 2: Actualizar las variables ambientales para TLS

Debe actualizar las variables ambientales del puerto y del protocolo para la configuración de la puerta de enlace independiente.

Cambie estos valores actualizando el archivo,/etc/opt/tableau/tableau_tsig/environment.bash, como se indica a continuación:

TSIG_HK_PROTOCOL="https"
TSIG_PORT="443"
TSIG_PROTOCOL="https"

Paso 3: Actualizar el archivo de configuración de código auxiliar para el protocolo HK

Edite manualmente el archivo de configuración de código auxiliar (/var/opt/tableau/tableau_tsig/config/httpd.conf.stub) para establecer directivas Apache httpd relacionadas con TLS para el protocolo de limpieza (HK).

El archivo de configuración de código auxiliar incluye un bloque de directivas relacionadas con TLS que se comentan con un marcador #TLS#. Quite los marcadores de las directivas como se muestra en el siguiente ejemplo. Tenga en cuenta que el ejemplo muestra el uso del certificado CA raíz para el certificado SSL usado en Tableau Server con la opción SSLCACertificateFile.

#TLS# SSLPassPhraseDialog exec:/path/to/file
<VirtualHost *:${TSIG_HK_PORT}>
SSLEngine on
#TLS# SSLHonorCipherOrder on
#TLS# SSLCompression off
SSLCertificateFile /etc/ssl/certs/tsig-ssl.crt
SSLCertificateKeyFile /etc/ssl/private/tsig-ssl.key
SSLCACertificateFile /etc/ssl/certs/tableau-server-CA.pem
#TLS# SSLCARevocationFile /path/to/file
</VirtualHost>

Estos cambios se perderán si vuelve a instalar la puerta de enlace independiente. Recomendamos hacer una copia de seguridad.

Paso 4: Copiar el archivo de resguardo y reiniciar el servicio

1. Copie el archivo que actualizó en el último paso para actualizar httpd.conf con los cambios:

   cp /var/opt/tableau/tableau_tsig/config/httpd.conf.stub /var/opt/tableau/tableau_tsig/config/httpd.conf

2. Reinicie el servicio de puerta de enlace independiente:

   sudo su - tableau-tsig
   systemctl --user restart tsig-httpd
   exit

Después de reiniciar, la puerta de enlace independiente no estará operativa hasta que ejecute el siguiente conjunto de pasos en Tableau Server. Una vez que haya completado los pasos en Tableau Server, la puerta de enlace independiente recogerá los cambios y se conectará.

Configurar el nodo 1 de Tableau Server para TLS

Ejecute estos pasos en el nodo 1 de la implementación de Tableau Server.

Paso 1: Copiar certificados y claves y detener TSM

1. Verifique que tenga los certificados y las claves "SSL externo" de Tableau Server copiados en el nodo 1.

2. Para minimizar el tiempo de inactividad, recomendamos detener TSM, ejecutar los siguientes pasos y luego iniciar TSM después de aplicar los cambios:

   tsm stop

Paso 2: Configurar los activos del certificado y habilitar la configuración de la puerta de enlace independiente

1. Especifique la ubicación de los archivos de certificados y claves para la puerta de enlace independiente. Estas rutas hacen referencia a la ubicación en los equipos de la puerta de enlace independiente. Tenga en cuenta que este ejemplo asume que se usa el mismo certificado y par de claves para proteger HTTPS y el tráfico de mantenimiento:

   tsm configuration set -k gateway.tsig.ssl.cert.file_name -v /etc/ssl/certs/tsig-ssl.crt --force-keys 
   tsm configuration set -k gateway.tsig.ssl.key.file_name -v /etc/ssl/private/tsig-ssl.key --force-keys	

2. Habilite TLS para los protocolos HTTPS y HK para la puerta de enlace independiente:

   tsm configuration set -k gateway.tsig.ssl.enabled -v true --force-keys
   tsm configuration set -k gateway.tsig.hk.ssl.enabled -v true --force-keys

3. (Opcional) Si utiliza un certificado PKI o autofirmado para SSL/TLS en la puerta de enlace independiente, debe cargar el archivo del certificado raíz de CA. El archivo de certificado raíz de CA es el certificado raíz que se usó para generar los certificados para los equipos de la puerta de enlace independiente. Por ejemplo:

   tsm security custom-cert add -c rootTSIG-CACert.pem

4. (Opcional) Si usa un certificado PKI o autofirmado para SSL/TLS en Tableau Server, también debe copiar el archivo del certificado raíz de CA en el directorio /etc/ssl/certs de la puerta de enlace independiente. El archivo de certificado raíz de CA es el certificado raíz que se usó para generar los certificados para los equipos de Tableau Server. Una vez que haya copiado el certificado en la puerta de enlace independiente, debe especificar la ubicación del certificado en el nodo 1 con el siguiente comando tsm. Por ejemplo:

   tsm configuration set -k gateway.tsig.ssl.proxy.gateway_relay_cluster.cacertificatefile -v /etc/ssl/certs/tableau-server-CA.pem --force-keys

5. (Opcional: solo con fines de prueba) Si está utilizando el uso compartido de certificados PKI o autofirmados entre equipos y, por lo tanto, los nombres de sujetos en los certificados no coinciden con los nombres de los equipos, entonces debe deshabilitar la verificación de certificados. 

   tsm configuration set -k gateway.tsig.ssl.proxy.verify -v optional_no_ca --force-keys

Paso 3: Habilitar "SSL externo" para Tableau Server y aplicar los cambios

1. Habilite y configure "SSL externo" en Tableau Server:

   tsm security external-ssl enable --cert-file ts-ssl.crt --key-file ts-ssl.key

2. Aplique los cambios.

   tsm pending-changes apply

Paso 4: Actualizar el archivo JSON de configuración de la puerta de enlace e iniciar tsm

1. Actualice el archivo de configuración de la puerta de enlace independiente (por ejemplo,tsig.json) en el lado de Tableau Server para especificar el protocolo https para los objetos de puerta de enlace independiente:

   "protocol" : "https",

2. Elimine (o comente) la información de conexión para la segunda instancia de la puerta de enlace independiente. Asegúrese de verificar el JSON en un editor externo antes de guardarlo.

   Una vez que haya configurado y validado TLS para la instancia única de la puerta de enlace independiente, actualizará este archivo JSON con la información de conexión para la segunda instancia de la puerta de enlace independiente.

3. Ejecute el siguiente comando para actualizar la configuración de la puerta de enlace independiente:

   tsm topology external-services gateway update -c tsig.json

4. Inicie TSM.

   tsm start

5. Mientras se inicia TSM, inicie sesión en la instancia de la puerta de enlace independiente y reinicie el servicio tsig-httpd:

   sudo su - tableau-tsig

   systemctl --user restart tsig-httpd

   exit

Actualice las URL del módulo de autenticación de IdP a HTTPS

Si ha configurado un proveedor de identidad externo para Tableau, es probable que deba actualizar las URL de retorno en el panel administrativo del IdP.

Por ejemplo, si está utilizando una aplicación de preautenticación Okta, deberá actualizar la aplicación para usar el protocolo HTTPS para la URL del destinatario y la URL de destino.

Configurar el equilibrador de carga de AWS para HTTPS

Si está implementando con el equilibrador de carga de AWS como se documenta en esta guía, vuelva a configurar el equilibrador de carga de AWS para enviar tráfico HTTPS a los equipos que ejecutan la puerta de enlace independiente:

1. Elimine el registro del grupo de destino HTTP existente:

   En Grupos de destino, seleccione el grupo de destino HTTP que se ha configurado para el equilibrador de carga, haga clic en Acciones y, a continuación, haga clic en Eliminar.

2. Cree un grupo de destino HTTPS:

   Grupos de destino > Crear grupo de destino

   • Seleccione "Instancias"
   • Escriba un nombre de grupo de destino, TG-internal-HTTPS por ejemplo
   • Seleccione su VPC
   • Protocolo: HTTPS 443
   • En Comprobaciones de estado > Configuración de comprobaciones de estado avanzadas > Códigos de éxito, agregue la lista de códigos para leer: 200,303.
   • Haga clic en Crear.

3. Seleccione el grupo de destino que acaba de crear y luego haga clic en la pestaña Destinos: 

   • Haga clic en Editar
   • Seleccione la instancia EC2 que están ejecutando la puerta de enlace independiente de Tableau Server que ha configurado y luego haga clic en Añadir a registrados.
   • Haga clic en Guardar.

4. Una vez creado el grupo objetivo, debe habilitar la adherencia:

   • Abra la página del grupo de destino de AWS (EC2> Equilibradores de carga > Grupos de destino), seleccione la instancia del grupo de destino que acaba de configurar. En el menú Acciones, seleccione Editar atributos.
   • En la página Editar atributos, seleccione Adherencia, especifique una duración de 1 day y luego Guardar cambios.

5. En el equilibrador de carga, actualice las reglas del oyente. Seleccione el equilibrador de carga que ha configurado para esta implementación y luego haga clic en la pestaña Oyentes.

   • Para HTTP:80, haga clic en Ver/editar reglas. En la página Reglas resultante, haga clic en el icono de edición (una vez en la parte superior de la página y luego nuevamente por la regla) para editar la regla. Elimine la regla THEN existente y reemplácela haciendo clic en Agregar acción > Redirigir a... En la configuración THEN resultante, especifiqueHTTPS y el puerto 443 y deje las otras opciones con la configuración predeterminada. Guarde la configuración y haga clic en Actualizar.
   • Para HTTPS:443, haga clic en Ver/editar reglas. En la página Reglas resultante, haga clic en el icono de edición (una vez en la parte superior de la página y luego nuevamente por la regla) para editar la regla. Elimine la regla THEN existente y reemplácela haciendo clic en Agregar acción > Reenviar a... Especifique el Grupo de destino para el grupo HTTPS que acaba de crear. En Adherencia a nivel de grupo, habilite la adherencia y establezca la duración en 1 día. Guarde la configuración y haga clic en Actualizar.

6. En el equilibrador de carga, actualice el tiempo de espera inactivo a 400 segundos. Seleccione el equilibrador de carga que ha configurado para esta implementación y luego haga clic en Acciones > Editar atributos. Establezca el tiempo de espera inactivo en400 segundos y luego haga clic en Guardar.

Validar TLS

Para validar la funcionalidad TLS, inicie sesión en Tableau Server con la URL pública (p. ej., https://tableau.example.com) con la cuenta de administrador de Tableau que creó al comienzo de este procedimiento.

Si TSM no se inicia o recibe otros errores, consulte Solucionar problemas de la puerta de enlace independiente de Tableau Server.

Configurar la segunda instancia de la puerta de enlace independiente para SSL

Una vez que haya configurado correctamente la primera instancia de la puerta de enlace independiente, implemente la segunda instancia.

El proceso para implementar la segunda puerta de enlace independiente requiere los siguientes pasos:

1. En la (primera) instancia configurada de la puerta de enlace independiente: copie los siguientes archivos en las ubicaciones correspondientes en la segunda instancia de la puerta de enlace independiente:

   • /etc/ssl/certs/tsig-ssl.crt
   • /etc/ssl/private/tsig-ssl.key (Tendrá que crear el directorio private en la segunda instancia).
   • /var/opt/tableau/tableau_tsig/config/httpd.conf.stub
   • /etc/opt/tableau/tableau_tsig/environment.bash

2. En el nodo 1 de la implementación de Tableau Server: actualice el archivo de conexión (tsig.json) con la información de conexión de la segunda puerta de enlace independiente.

   Un archivo de conexión de ejemplo (tsig.json) se muestra aquí:

   {
   "independentGateways": [
    {
      "id": "ip-10-0-1-169.ec2.internal",
      "host": "ip-10-0-1-169.ec2.internal",
      "port": "21319",
      "protocol" : "https",
      "authsecret": "13660-27118-29070-25482-9518-22453"
    },
    {
      "id": "ip-10-0-2-230.ec2.internal",
      "host": "ip-10-0-2-230.ec2.internal",
      "port": "21319",
      "protocol" : "https",
      "authsecret": "9055-27834-16487-27455-30409-7292"
    }]
    }

3. En el nodo 1 de la implementación de Tableau Server: ejecute los siguientes comandos para actualizar la configuración:

   tsm stop

   tsm topology external-services gateway update -c tsig.json
   

   tsm start

4. En ambas instancias de Puerta de enlace independiente: Mientras se inicia Tableau Server, reinicie el proceso tsig-httpd en ambas instancias de la puerta de enlace independiente:

   sudo su - tableau-tsig

   systemctl --user restart tsig-httpd

   exit

5. En AWS EC2>Grupos de destino: actualice el grupo de destino para incluir la instancia EC2 que ejecuta la segunda instancia de la puerta de enlace independiente.

   Seleccione el grupo de destino que acaba de crear y luego haga clic en la pestaña Destinos: 

   • Haga clic en Editar.
   • Seleccione la instancia EC2 del segundo equipo de la puerta de enlace independiente y luego haga clic en Agregar a registrado. Haga clic en Guardar.

Configurar SSL para Postgres

Opcionalmente, puede configurar SSL (TLS) para la conexión de Postgres para la conexión del repositorio externo en Tableau Server.

Para simplificar la administración y la implementación de certificados, y como práctica recomendada de seguridad, recomendamos usar certificados generados por una autoridad de certificación (CA) de terceros de confianza. Como alternativa, puede generar certificados autofirmados o usar certificados de una PKI para TLS.

Este procedimiento describe cómo utilizar OpenSSL para generar un certificado autofirmado en el host de Postgres en una distribución Linux de tipo RHEL en la arquitectura de referencia de AWS de ejemplo.

Después de generar y firmar el certificado SSL, debe copiar el certificado CA en el host de Tableau.

En el host que ejecuta Postgres:

1. Genere la clave de la autoridad certificadora (CA) raíz de firma:

   openssl genrsa -out pgsql-rootCAKey.pem 2048

2. Cree el certificado de CA raíz:

   openssl req -x509 -sha256 -new -nodes -key pgsql-rootCAKey.pem -days 3650 -out pgsql-rootCACert.pem

   Se le pedirá que especifique los valores para los campos del certificado. Por ejemplo:

   Country Name (2 letter code) [XX]:US
   State or Province Name (full name) []:Washington
   Locality Name (eg, city) [Default City]:Seattle
   Organization Name (eg, company) [Default Company Ltd]:Tableau
   Organizational Unit Name (eg, section) []:Operations
   Common Name (eg, Postgres server's hostname) []:ip-10-0-1-189.us-west-1.compute.internal
   Email Address []:example@tableau.com				

3. Cree el certificado y la clave relacionada (server.csr y server.key en el ejemplo siguiente) para el equipo de Postgres. El nombre del sujeto del certificado debe coincidir con el nombre DNS privado de EC2 del host de Postgres. El nombre del sujeto se establece con la opción -subj con el formato "/CN=<private DNS name>", por ejemplo:

   openssl req -new -nodes -text -out server.csr -keyout server.key -subj "/CN=ip-10-0-1-189.us-west-1.compute.internal"

4. Firme el nuevo certificado con el certificado CA que creó en el paso 2. El siguiente comando también genera el certificado en el formato crt:

   openssl x509 -req -in server.csr -days 3650 -CA pgsql-rootCACert.pem -CAkey pgsql-rootCAKey.pem -CAcreateserial -out server.crt

5. Copie los archivos crt y key en la ruta /var/lib/pgsql/13/data/ de Postgres:

   sudo cp server.crt /var/lib/pgsql/13/data/

   sudo cp server.key /var/lib/pgsql/13/data/

6. Cambiar a usuario raíz:

   sudo su

7. Establezca permisos en los archivos cer y key. Ejecute los comandos siguientes:

   cd /var/lib/pgsql/13/data
   chown postgres.postgres server.crt
   chown postgres.postgres server.key
   chmod 0600 server.crt
   chmod 0600 server.key

8. Actualice el archivo de configuración pg_haba /var/lib/pgsql/13/data/pg_hba.conf para especificar la confianza md5:

   Cambie las declaraciones de conexión existentes de

   host all all 10.0.30.0/24 password y

   host all all 10.0.31.0/24 password

   to

   host all all 10.0.30.0/24 md5 y

   host all all 10.0.31.0/24 md5.

9. Actualice el archivo postgresql/var/lib/pgsql/13/data/postgresql.conf agregando esta línea:

   ssl = on

10. Salga del modo de usuario raíz:

    exit

11. Reiniciar Postgres:

    sudo systemctl restart postgresql-13

Opcional: habilite la validación de confianza de certificados en Tableau Server para Postgres SSL

Si siguió el procedimiento de instalación en la Paso 4: Instalar y configurar Tableau Server, entonces Tableau Server está configurado con SSL opcional para la conexión de Postgres. Esto significa que la configuración de SSL en Postgres (como se describe anteriormente) dará como resultado una conexión cifrada.

Si desea solicitar la validación de confianza del certificado para la conexión, debe ejecutar el siguiente comando en Tableau Server para volver a configurar la conexión del host de Postgres:

tsm topology external-services repository replace-host -f <filename>.json -c CACert.pem

Donde <filename>.json es el archivo de conexión descrito en Configurar Postgres externo. Y CACert.pem es el archivo de certificado de CA para el certificado SSL/TLS utilizado por Postgres.