Guide de déploiement de Tableau Server en entreprise

La Partie 1 décrit plus en détail les fonctionnalités et les exigences d’un déploiement en entreprise aux normes de l’industrie pour lequel le Guide de déploiement de Tableau Server en entreprise a été conçu.

Le diagramme de réseau suivant montre un déploiement multi-niveaux de centre de données générique avec une architecture de référence Tableau Server.

Normes de l’industrie et exigences de déploiement

Cette section décrit les caractéristiques d’un déploiement aux normes de l’industrie. Voici les exigences pour lesquelles l’architecture de référence décrite a été conçue :

• Modèle de réseau à plusieurs niveaux : le réseau est lié par des sous-réseaux protégés pour limiter l’accès à chaque couche : couche Web, couche application et couche de données. Aucune communication unique ne peut traverser les sous-réseaux, car toutes les communications se terminent au sous-réseau suivant.
• Ports et protocoles bloqués par défaut : chaque sous-réseau ou groupe de sécurité bloquera tous les ports et protocoles entrants et sortants par défaut. La communication est activée, partiellement, en ouvrant des exceptions dans la configuration du port/protocole.
• Authentification Web externe : les demandes des utilisateurs provenant d’Internet sont authentifiées par un module d’authentification sur le serveur proxy inverse au niveau Web. Par conséquent, toutes les demandes adressées à la couche application sont authentifiées au niveau Web avant de passer dans la couche application protégée.
• Indépendant des plates-formes : la solution peut être déployée avec des applications serveur sur site ou dans le nuage.
• Indépendant de la technologie : la solution peut être déployée dans un environnement de machine virtuelle ou dans des conteneurs. Elle peut également être déployée sur Windows ou Linux. Cette version initiale de l’architecture de référence et de la documentation d’accompagnement a toutefois été développée pour Linux s’exécutant dans AWS.
• Hautement disponible : tous les composants du système sont déployés en tant que groupement et conçus pour fonctionner dans un déploiement actif/actif ou actif/passif.
• Rôles cloisonnés : chaque serveur joue un rôle discret. Cette conception partitionne tous les serveurs de manière à ce que l’accès soit limité aux administrateurs spécifiques au service. Par exemple, les administrateurs de base de données gèrent PostgreSQL pour Tableau, les administrateurs d’identité gèrent le module d’authentification au niveau Web, les administrateurs réseau et nuage gèrent le trafic et la connectivité.
• Évolutivité linéaire : en tant que rôles discrets, vous pouvez faire évoluer chaque service de niveau indépendamment en fonction du profil de charge.
• Prise en charge des clients : l’architecture de référence prend en charge tous les clients Tableau : Tableau Desktop (versions 2021.2 ou ultérieures), Tableau Mobile et création Web Tableau.

Mesures de sécurité

Comme indiqué, une caractéristique principale de la conception de centre de données aux normes de l’industrie est la sécurité.

• Accès : chaque niveau est lié par un sous-réseau qui applique le contrôle d’accès au niveau de la couche réseau à l’aide du filtrage de port. L’accès à la communication entre les sous-réseaux peut également être appliqué par la couche application avec des services authentifiés entre les processus.
• Intégration : l’architecture est conçue pour se connecter au fournisseur d’identités sur le serveur proxy au niveau Web.
• Confidentialité : le trafic vers la passerelle Web est chiffré à partir du client avec SSL. Le trafic vers les sous-réseaux internes peut également être chiffré.

Niveau proxy Web

Le niveau Web est un sous-réseau dans la DMZ (également appelée zone de périmètre) qui agit comme un tampon de sécurité entre Internet et les sous-réseaux internes où les applications sont déployées. Le niveau Web héberge des serveurs proxy inverses qui ne stockent aucune information sensible. Les serveurs proxy inverses sont configurés avec un module d’extension AuthN pour pré-authentifier les sessions client avec un fournisseur d’identité de confiance, avant de rediriger la demande du client vers Tableau Server. Pour plus d’informations, consultez Pré-authentification avec un module AuthN.

Équilibreurs de charge

La conception du déploiement recommande vivement de déployer une solution d’équilibrage de charge d’entreprise devant les serveurs proxy inverses.

Les équilibreurs de charge fournissent des améliorations importantes de la sécurité et des performances par les actions suivantes :

• Virtualisation de l’URL front-end pour les services de niveau Application
• Application du chiffrement SSL
• Déchargement SSL
• Application de la compression entre le client et les services de niveau Web
• Protection contre les attaques DOS
• Haute disponibilité

Remarque : Tableau Server version 2022.1 inclut la passerelle indépendante de Tableau Server. La passerelle indépendante est une instance autonome du processus du serveur Tableau Gateway qui agit comme un serveur proxy inverse compatible avec Tableau. Au moment de la publication, la passerelle indépendante a été validée, mais pas entièrement testée dans l’architecture de référence EDG. Une fois les tests complets terminés, l’EDG sera mis à jour avec des recommandations prescriptives pour la passerelle indépendante de Tableau Server.

Niveau Application

Le niveau application se trouve dans un sous-réseau qui exécute la logique métier principale de l’application serveur. Le niveau application se compose de services et de processus configurés sur des nœuds distribués dans un groupement. Le niveau application n’est accessible qu’à partir du niveau Web et n’est pas directement accessible par les utilisateurs.

Les performances et la fiabilité sont améliorées grâce à la configuration des processus d’application visant à assurer la colocalisation des processus avec différents profils d’utilisation des ressources (par exemple, utilisation intensive des ressources du processeur ou des ressources de la mémoire).

Niveau Données

Le niveau Données est un sous-réseau qui contient des données précieuses. Tout le trafic vers ce niveau provient du niveau Application et est donc déjà authentifié. En plus des exigences d’accès au niveau de la couche réseau avec configuration de port, cette couche doit inclure un accès authentifié et, éventuellement, un trafic chiffré au niveau de la couche Application.