Guide de déploiement de Tableau Server en entreprise

Installer Apache

Exécutez la procédure suivante sur les deux hôtes EC2 (Proxy 1 et Proxy 2). Si vous effectuez un déploiement dans AWS conformément à l’exemple d’architecture de référence, vous devez avoir deux zones de disponibilité et exécuter un seul serveur proxy dans chaque zone.

1. Installez Apache :

   sudo yum update -y
   sudo yum install -y httpd

2. Configurez de manière à démarrer Apache au redémarrage :

   sudo systemctl enable --now httpd

3. Vérifiez que la version de httpd que vous avez installée inclut proxy_hcheck_module :

   sudo httpd -M

   Vous devez utiliser proxy_hcheck_module. Si votre version de httpd n’inclut pas ce module, mettez à jour à une version de httpd qui l’inclut.

Configurer le serveur proxy pour tester la connectivité à Tableau Server

Exécutez cette procédure sur l’un des hôtes proxy (Proxy 1). Le but de cette étape est de vérifier la connectivité entre Internet et votre serveur proxy et Tableau Server dans le groupe de sécurité privé.

1. Créez un fichier appelé tableau.conf et ajoutez-le au répertoire /etc/httpd/conf.d.

   Copiez le code suivant et spécifiez les clés ProxyPass et ProxyPassReverse avec l’adresse IP privée du Nœud 1 de Tableau Server.

   Important : la configuration présentée ci-dessous n’est pas sécurisée et ne doit pas être utilisée en production. Cette configuration ne doit être utilisée que pendant le processus d’installation pour vérifier la connectivité de bout en bout.

   Par exemple, si l’adresse IP privée du nœud 1 est 10.0.30.32, le contenu du fichier tableau.conf serait :

   <VirtualHost *:80>
   ProxyPreserveHost On
   ProxyPass "/" "http://10.0.30.32:80/"
   ProxyPassReverse "/" "http://10.0.30.32:80/"
   </VirtualHost>

2. Redémarrez httpd :

   sudo systemctl restart httpd

Configurez l’équilibreur de charge en tant qu’écouteur HTTP. La procédure ici décrit comment ajouter un équilibreur de charge dans AWS.

Étape 1 : Créer un groupe cible

Un groupe cible est une configuration AWS qui définit les instances EC2 exécutant vos serveurs proxy. Ce sont les cibles pour le trafic provenant du LBS.

1. EC2>Groupes cibles > Créer un groupe cible

2. Sur la page Créer :

   • Entrez un nom de groupe cible, par exemple TG-internal-HTTP
   • Type de cible : Instances
   • Protocole : HTTP
   • Port : 80
   • VPC : Sélectionnez votre VPC
   • Sous Contrôles d’intégrité > Paramètres avancés des contrôles d’intégrité > Codes de réussite, ajoutez la liste des codes pour lire : 200,303.
   • Cliquez sur Créer

3. Sélectionnez le groupe cible que vous venez de créer, puis cliquez sur l’onglet Cibles : 

   • Cliquez sur Modifier.
   • Sélectionnez les instances EC2 (ou une seule instance si vous en configurez une à la fois) qui exécutent l’application proxy, puis cliquez sur Ajouter à l’enregistrement.
   • Cliquez sur Enregistrer.

Étape 2 : Lancer l’assistant d’équilibrage de charge

1. EC2 > Équilibreurs de charge > Créer un équilibreur de charge

2. Sur la page « Sélectionner le type d’équilibreur de charge », créez un équilibreur de charge d’application.

Remarque : l’interface utilisateur qui s’affiche pour configurer l’équilibreur de charge peut présenter des différences selon les centres de données AWS. La procédure ci-dessous, « Configuration de l’assistant », correspond à l’assistant de configuration AWS qui commence par l’Étape 1 Configurer l’équilibreur de charge. 

Si votre centre de données affiche toutes les configurations sur une seule page qui inclut un bouton Créer un équilibreur de charge en bas de la page, suivez la procédure « Configuration d’une seule page » ci-dessous.

Étape 3 : Activer la persistance

1. Une fois l’équilibreur de charge créé, vous devez activer la persistance sur le groupe cible.

   • Ouvrez la page Groupe cible AWS (EC2> Équilibreurs de charge> Groupes cibles), sélectionnez l’instance d’équilibreur de charge cible que vous venez de configurer. Dans le menu Actions, sélectionnez Modifier les attributs.
   • Sur la page Modifier les attributs, sélectionnez Persistance, spécifiez une durée 1 day, puis Enregistrer les modifications.

2. Dans l’équilibreur de charge, activez la persistance sur l’écouteur HTTP. Sélectionnez l’équilibreur de charge que vous venez de configurer, puis cliquez sur l’onglet Écouteurs.

   • Pour HTTP:80, cliquez sur Afficher/modifier les règles. Dans la page Règles résultante, cliquez sur l’icône de modification (une fois en haut de la page, puis à nouveau près de la règle) pour modifier la règle. Supprimez la règle THEN existante et remplacez-la en cliquant sur Ajouter une action > Transférer vers.... Dans la configuration THEN résultante, spécifiez le même groupe cible que vous avez créé. Sous Persistance au niveau du groupe, activez la persistance et définissez la durée sur 1 jour. Enregistrez le paramètre puis cliquez sur Mettre à jour.

Étape 4 : Définir le délai d’inactivité sur l’équilibreur de charge

Sur l’équilibreur de charge, mettez à jour le délai d’inactivité sur 400 secondes.

Sélectionnez l’équilibreur de charge que vous avez configuré pour ce déploiement, puis cliquez sur Actions > Modifier les attributs. Définissez le Délai d’inactivité sur 400 secondes, puis cliquez sur Enregistrer.

Étape 5 : Vérifier la connectivité LBS

Ouvrez la page de l’équilibreur de charge AWS (EC2> Équilibreurs de charge), puis sélectionnez l’instance d’équilibreur de charge que vous venez de configurer.

Sous Description, copiez le nom DNS et collez-le dans un navigateur pour accéder à la page de connexion Tableau Server.

Si vous obtenez une erreur de niveau 500, vous devrez probablement redémarrer vos serveurs proxy.

Créer un compte d’administrateur Tableau

Une erreur courante lors de la configuration de SAML est d’oublier de créer un compte administrateur sur Tableau Server avant d’activer l’authentification unique.

La première étape consiste à créer un compte sur Tableau Server avec un rôle d’administrateur de serveur. Dans l’exemple de scénario Okta, le nom d’utilisateur doit utiliser le format d’une adresse e-mail valide, par exemple user@example.com. Vous devez définir un mot de passe pour cet utilisateur, mais le mot de passe ne sera pas utilisé une fois SAML configuré.

Configurer l’application de pré-authentification Okta

Le scénario de bout en bout décrit dans cette section nécessite deux applications Okta :

• Demande de pré-autorisation Okta
• Application Okta Tableau Server

Chacune de ces applications est associée à différentes métadonnées que vous devrez configurer sur le serveur proxy inverse et Tableau Server, respectivement.

Cette procédure décrit comment créer et configurer l’application de pré-authentification Okta. Plus loin dans cette rubrique, vous créerez l’application Okta Tableau Server. Pour un test gratuit de compte Okta avec un nombre limité d’utilisateurs, consultez la page Web des développeurs Okta(Le lien s’ouvre dans une nouvelle fenêtre).

Créez une intégration d’application SAML pour le fournisseur de services de pré-authentification Mellon.

1. Ouvrez le tableau de bord d’administration d’Okta > Applications > Créer une intégration d’application.

2. Dans la page Créer une nouvelle intégration d’application, sélectionnez SAML 2.0, puis cliquez sur Suivant.

3. Dans l’onglet Paramètres généraux, saisissez un nom d’application, par exemple Tableau Pre-Auth, puis cliquez sur Suivant.

4. Dans l’onglet Configurer SAML :

   • URL d’authentification unique (SSO). Le dernier élément du chemin dans l’URL d’authentification unique est appelé MellonEndpointPath dans le fichier de configuration mellon.conf présenté plus loin dans cette procédure. Vous pouvez spécifier le point de terminaison de votre choix. Dans cet exemple, sso est le point de terminaison. Le dernier élément, postResponse, est requis : https://tableau.example.com/sso/postResponse.
   • Décochez la case : Use this for Recipient URL and Destination URL (À utiliser comme URL du destinataire et URL de destination).
   • URL du destinataire : identique à l’URL SSO, mais avec HTTP. Par exemple, http://tableau.example.com/sso/postResponse.
   • URL de destination : identique à l’URL du destinataire, mais avec HTTP. Par exemple, http://tableau.example.com/sso/postResponse.
   • URI d’audience (ID d’entité SP). Par exemple, https://tableau.example.com.
   • Format d’identification du nom : EmailAddress
   • Nom d’utilisateur de l’application : Email
   • Déclarations d’attributs : Nom =mail ; Format du nom = Unspecified ; Valeur = user.email.

   Cliquez sur Suivant.

5. Dans l’onglet Commentaires, sélectionnez :

   • Je suis un client Okta ajoutant une application interne
   • Il s’agit d’une application interne que nous avons créée
   • Cliquez sur Terminer.

6. Créez le fichier de métadonnées IdP de pré-authentification :

   • Dans Okta : Applications > Applications > Votre nouvelle application (par exemple Tableau Pre-Auth ) > Connexion
   • À côté de Certificats de signature SAML, cliquez sur Afficher les instructions de configuration SAML.
   • Dans la page Comment configurer SAML 2.0 pour<pre-auth> Application, faites défiler jusqu’à la section Facultatif, Fournir les métadonnées d’IDP suivantes à votre fournisseur de SP.
   • Copiez le contenu du champ XML et enregistrez-le dans un fichier appelé pre-auth_idp_metadata.xml.

7. (Facultatif) Configurez l’authentification multifacteur :

   • Dans Okta : Applications > Applications > Votre nouvelle application (par exemple Tableau Pre-Auth ) > Connexion
   • Sous Stratégie de connexion, cliquez sur Ajouter une règle.
   • Dans Règle de connexion aux applications, spécifiez un nom et les différentes options MFA. Pour tester la fonctionnalité, vous pouvez laisser toutes les options par défaut. Par contre, sous Actions, vous devez sélectionner Demander le facteur, puis spécifier la fréquence à laquelle les utilisateurs doivent se connecter. Cliquez sur Enregistrer.

Créer et affecter un utilisateur Okta

1. Dans Okta, créez un utilisateur avec le même nom d’utilisateur que vous avez créé dans Tableau (user@example.com) : Répertoire > Personnes > Ajouter une personne.
2. Une fois l’utilisateur créé, attribuez la nouvelle application Okta à cette personne : cliquez sur le nom d’utilisateur, puis attribuez l’application dans Attribuer une application.

1. Dans le tableau de bord Okta : Applications > Applications > Parcourir le catalogue d’applications
2. Dans Parcourir le catalogue d’intégration d’applications, recherchez Tableau, sélectionnez la section Tableau Server, puis cliquez sur Ajouter.
3. Sur Ajouter Tableau Server > Paramètres généraux, saisissez une étiquette, puis cliquez sur Suivant.
4. Dans Options de connexion, sélectionnez SAML 2.0 et faites défiler jusqu’à Paramètres de connexion avancés :
   • ID d’entité SAML : saisissez l’URL publique, par exemple https://tableau.example.com.
   • Format du nom d’utilisateur de l’application : E-mail
5. Cliquez sur le lien Métadonnées du fournisseur d’identité pour lancer un navigateur. Copiez le lien du navigateur. C’est le lien que vous utiliserez lorsque vous configurerez Tableau dans la procédure qui suit.
6. Cliquez sur Terminé.
7. Attribuez la nouvelle application Tableau Server Okta à votre utilisateur (user@example.com) : cliquez sur le nom d’utilisateur, puis attribuez l’application dans Attribuer une application.

Exécutez cette procédure sur le Nœud 1 de Tableau Server.

1. Téléchargez les métadonnées de l’application Tableau depuis Okta. Utilisez le lien que vous avez enregistré de la procédure précédente :

   wget https://dev-66144217.okta.com/app/exk1egxgt1fhjkSeS5d7/sso/saml/metadata -O idp_metadata.xml

2. Copiez un certificat TLS et le fichier de clé associé sur Tableau Server. Le fichier de clé doit être une clé RSA. Pour plus d’informations sur la certificat et les exigences de l’IdP, consultez Exigences en matière d’authentification SAML (Linux(Le lien s’ouvre dans une nouvelle fenêtre)).

   Pour simplifier la gestion et le déploiement des certificats, et comme meilleure pratique de sécurité, nous vous recommandons d’utiliser des certificats générés par une autorité de certification (CA) tierce majeure de confiance. Sinon, vous pouvez générer des certificats auto-signés ou utiliser les certificats d’un PKI pour TLS.

   Si vous n’avez pas de certificat TLS, vous pouvez générer un certificat auto-signé en appliquant la procédure intégrée ci-dessous.

   Générer un certificat auto-signé

   Exécutez cette procédure sur le Nœud 1 de Tableau Server.

   1. Générez la clé de l’autorité de certification racine (CA) de signature :

      openssl genrsa -out rootCAKey-saml.pem 2048

   2. Créez le certificat CA racine :

      openssl req -x509 -sha256 -new -nodes -key rootCAKey-saml.pem -days 3650 -out rootCACert-saml.pem

      Vous serez invité à saisir des valeurs pour les champs du certificat. Par exemple :

      Country Name (2 letter code) [XX]:US
      State or Province Name (full name) []:Washington
      Locality Name (eg, city) [Default City]:Seattle
      Organization Name (eg, company) [Default Company Ltd]:Tableau
      Organizational Unit Name (eg, section) []:Operations
      Common Name (eg, your name or your server's hostname) []:tableau.example.com
      Email Address []:example@tableau.com

   3. Créez le certificat et la clé associée (server-saml.csr et server-saml.key dans l’exemple ci-dessous). Le nom du sujet du certificat doit correspondre au nom de l’hôte public de l’hôte Tableau. Le nom du sujet est défini à l’aide de l’option -subj avec le format "/CN=<host-name>", par exemple :

      openssl req -new -nodes -text -out server-saml.csr -keyout server-saml.key -subj "/CN=tableau.example.com"

   4. Signez le nouveau certificat avec le certificat CA que vous avez créé ci-dessus. La commande suivante génère également le certificat au format crt :

      openssl x509 -req -in server-saml.csr -days 3650 -CA rootCACert-saml.pem -CAkey rootCAKey-saml.pem -CAcreateserial -out server-saml.crt

   5. Convertissez le fichier de clé en RSA. Tableau requiert un fichier de clé RSA pour SAML. Pour convertir la clé, exécutez la commande suivante :

      openssl rsa -in server-saml.key -out server-saml-rsa.key

3. Configurez SAML. Exécutez la commande suivante, en spécifiant votre ID d’entité et votre URL de retour, ainsi que les chemins d’accès au fichier de métadonnées, au fichier de certificat et au fichier de clé :

   tsm authentication saml configure --idp-entity-id "https://tableau.example.com" --idp-return-url "https://tableau.example.com" --idp-metadata idp_metadata.xml --cert-file "server-saml.crt" --key-file "server-saml-rsa.key"

   tsm authentication saml enable

4. Si votre entreprise exécute Tableau Desktop 2021.4 ou une version ultérieure, vous devez exécuter la commande suivante pour activer l’authentification via les serveurs proxy inverses.

   Les versions de Tableau Desktop 2021.2.1 - 2021.3 fonctionneront sans que cette commande soit exécutée, à condition que votre module de pré-authentification (par exemple Mellon) soit configuré pour autoriser la conservation des cookies de domaine de niveau supérieur.

   tsm configuration set -k features.ExternalBrowserOAuth -v false

5. Appliquez les changements de configuration :

   tsm pending-changes apply

Configurer SSL/TLS depuis l’équilibreur de charge vers Tableau Server

Certaines entreprises exigent un canal de cryptage de bout en bout du client au service principal. L’architecture de référence par défaut telle que décrite jusqu’à présent spécifie SSL du client à l’équilibreur de charge s’exécutant dans le niveau Web de votre entreprise.

Pour configurer SSL depuis l’équilibreur de charge vers Tableau Server, vous devez :

• Installer un certificat SSL valide sur les serveurs Tableau et proxy.
• Configurer SSL depuis l’équilibreur de charge vers les serveurs proxy inverses.
• Configurer SSL depuis les serveurs proxy vers Tableau Server.
• Vous pouvez également configurer SSL de Tableau Server vers l’instance PostgreSQL.

Le reste de cette rubrique décrit cette implémentation dans le contexte de l’exemple d’architecture de référence AWS.

Exemple : Configurer SSL/TLS dans l’architecture de référence AWS

Cette section décrit comment configurer SSL sur Tableau et configurer SSL sur un serveur proxy Apache, le tout s’exécutant dans l’exemple d’architecture AWS de référence.

Les procédures Linux décrites tout au long de cet exemple montrent des commandes pour les distributions de type RHEL. Plus précisément, les commandes présentées ici ont été développées avec la distribution Amazon Linux 2. Si vous exécutez la distribution Ubuntu, modifiez les commandes en conséquence.

Étape 1 : Rassembler les certificats et les clés associées

Pour simplifier la gestion et le déploiement des certificats, et comme meilleure pratique de sécurité, nous vous recommandons d’utiliser des certificats générés par une autorité de certification (CA) tierce majeure de confiance.

Sinon, vous pouvez générer des certificats auto-signés ou utiliser les certificats d’un PKI pour TLS.

La procédure suivante explique comment générer des certificats auto-signés. Si vous utilisez des certificats tiers comme nous le recommandons, vous pouvez ignorer cette procédure.

Exécutez cette procédure sur l’un des hôtes proxy. Après avoir généré le certificat et la clé associée, vous les partagerez avec l’autre hôte proxy et avec le Nœud 1 de Tableau Server.

1. Générez la clé de l’autorité de certification racine (CA) de signature :

   openssl genrsa -out rootCAKey.pem 2048

2. Créez le certificat CA racine :

   openssl req -x509 -sha256 -new -nodes -key rootCAKey.pem -days 3650 -out rootCACert.pem

   Vous serez invité à saisir des valeurs pour les champs du certificat. Par exemple :

   Country Name (2 letter code) [XX]:US
   State or Province Name (full name) []:Washington
   Locality Name (eg, city) [Default City]:Seattle
   Organization Name (eg, company) [Default Company Ltd]:Tableau
   Organizational Unit Name (eg, section) []:Operations
   Common Name (eg, your name or your server's hostname) []:tableau.example.com
   Email Address []:example@tableau.com

3. Créez le certificat et la clé associée (serverssl.csr et serverssl.key dans l’exemple ci-dessous). Le nom du sujet du certificat doit correspondre au nom de l’hôte public de l’hôte Tableau. Le nom du sujet est défini à l’aide de l’option -subj avec le format "/CN=<host-name>", par exemple :

   openssl req -new -nodes -text -out serverssl.csr -keyout serverssl.key -subj "/CN=tableau.example.com"

4. Signez le nouveau certificat avec le certificat CA que vous avez créé à l’étape 2. La commande suivante génère également le certificat au format crt :

   openssl x509 -req -in serverssl.csr -days 3650 -CA rootCACert.pem -CAkey rootCAKey.pem -CAcreateserial -out serverssl.crt

Étape 2 : Configurer le serveur proxy pour SSL

Exécutez cette procédure sur les deux serveurs proxy.

1. Installez le module Apache ssl :

   sudo yum install mod_ssl

2. Créez le répertoire /etc/ssl/private :

   sudo mkdir -p /etc/ssl/private

3. Copiez les fichiers crt et key dans les chemins d’accès /etc/ssl/ suivants :

   sudo cp serverssl.crt /etc/ssl/certs/

   sudo cp serverssl.key /etc/ssl/private/

4. Mettez à jour le fichier tableau.conf existant avec les mises à jour suivantes :

   • Ajoutez le bloc de réécriture SSL :

     RewriteEngine on
     RewriteCond %{SERVER_NAME} =tableau.example.com
     RewriteRule ^ https://%{SERVER_NAME}%{REQUEST_URI} [END,NE,R=permanent]

   • Dans le bloc de réécriture SSL, mettez à jour le nom du serveur RewriteCond : ajoutez votre nom d’hôte public, par exemple tableau.example.com.
   • Modifiez <VirtualHost *:80> en <VirtualHost *:443>.
   • Enveloppez les blocs <VirtualHost *:443> et <Location /> avec <IfModule mod_ssl.c>... </IfModule>.
   • BalancerMember : modifiez le protocole dehttp en https.
   • Ajoutez les éléments SSL* à l’intérieur du bloc <VirtualHost *:443> :

     SSLEngine on
     SSLCertificateFile /etc/ssl/certs/serverssl.crt
     SSLCertificateKeyFile /etc/ssl/private/serverssl.key
     SSLProxyEngine on
     SSLProxyVerify none
     SSLProxyCheckPeerName off
     SSLProxyCheckPeerExpire off

   • Dans l’élément LogLevel : ajoutez ssl:warn.
   • Facultatif : si vous avez installé et configuré un module d’authentification, vous pouvez avoir des éléments supplémentaires dans le fichier tableau.conf. Par exemple, le bloc <Location /> </Location> inclura des éléments.

   Un exemple de fichier tableau.conf configuré pour SSL est présenté ici :

   RewriteEngine on
   RewriteCond %{SERVER_NAME} =tableau.example.com
   RewriteRule ^ https://%{SERVER_NAME}%{REQUEST_URI} [END,NE,R=permanent]
   
   <IfModule mod_ssl.c>
   <VirtualHost *:443>
   ServerAdmin admin@example.com
   ProxyHCExpr ok234 {%{REQUEST_STATUS} =~ /^[234]/}
   Header add Set-Cookie "ROUTEID=.%{BALANCER_WORKER_ROUTE}e; path=/" env=BALANCER_ROUTE_CHANGED
   <Proxy balancer://tableau>
   BalancerMember https://10.0.3.36/ route=1 hcmethod=GET hcexpr=ok234 hcuri=/favicon.ico
   BalancerMember https://10.0.4.15/ route=2 hcmethod=GET hcexpr=ok234 hcuri=/favicon.ico
   ProxySet stickysession=ROUTEID
   </Proxy>
   ProxyPreserveHost On
   ProxyPass / balancer://tableau/
   ProxyPassReverse / balancer://tableau/
   DocumentRoot /var/www/html
   ServerName tableau.example.com
   ServerSignature Off
   ErrorLog logs/error_sp.log
   CustomLog logs/access_sp.log combined
   LogLevel info ssl:warn
   SSLEngine on
   SSLCertificateFile /etc/ssl/certs/serverssl.crt
   SSLCertificateKeyFile /etc/ssl/private/serverssl.key
   SSLProxyEngine on
   SSLProxyVerify none
   SSLProxyCheckPeerName off
   SSLProxyCheckPeerExpire off
   </VirtualHost>
   <Location />
   #If you have configured a pre-auth module (e.g. Mellon) include those elements here.
   </Location>
   </IfModule>

5. Ajoutez le fichier index.html pour supprimer les erreurs 403 :

   sudo touch /var/www/html/index.html

6. Redémarrez httpd :

   sudo systemctl restart httpd

Étape 3 : Configurer Tableau Server pour SSL externe

Copiez les fichiers serverssl.crt et serverssl.key de l’hôte Proxy 1 vers l’instance Tableau Server initiale (Nœud 1).

Exécutez les commandes suivantes sur le Nœud 1 :

tsm security external-ssl enable --cert-file serverssl.crt --key-file serverssl.key
tsm pending-changes apply

Étape 4 : Configuration facultative de l’authentification

Si vous avez configuré un fournisseur d’identité externe pour Tableau, vous devrez probablement mettre à jour les URL de retour dans le tableau de bord administratif de l’IdP.

Par exemple, si vous utilisez une application de pré-authentification Okta, vous devrez mettre à jour l’application de l’IdP Mellon de manière à utiliser le protocole HTTPS pour l’URL du destinataire et l’URL de destination.

Étape 5 : Configurer l’équilibreur de charge AWS pour HTTPS

Si vous effectuez un déploiement avec l’équilibreur de charge AWS comme documenté dans ce guide, vous allez reconfigurer l’équilibreur de charge AWS de manière à envoyer le trafic HTTPS aux serveurs proxy :

1. Annulez l’enregistrement du groupe cible HTTP existant :

   Dans Groupes cibles, sélectionnez le groupe cible HTTP qui a été configuré pour l’équilibreur de charge, cliquez sur Actions, puis sur Enregistrer et annuler l’enregistrement de l’instance.

   Sur la page Enregistrer et annuler l’enregistrement des cibles, sélectionnez les instances actuellement configurées, cliquez sur Annuler l’enregistrement, puis sur Enregistrer.

2. Créez un groupe HTTPS cible :

   Groupes cibles > Créer un groupe cible

   • Sélectionnez « Instances »
   • Entrez un nom de groupe cible, par exemple TG-internal-HTTPS
   • Sélectionnez votre VPC
   • Protocole : HTTPS 443
   • Sous Contrôles d’intégrité > Paramètres avancés des contrôles d’intégrité > Codes de réussite, ajoutez la liste des codes pour lire : 200,303.
   • Cliquez sur Créer.

3. Sélectionnez le groupe cible que vous venez de créer, puis cliquez sur l’onglet Cibles : 

   • Cliquez sur Modifier.
   • Sélectionnez les instances EC2 qui exécutent l’application proxy, puis cliquez sur Ajouter aux instances enregistrées.
   • Cliquez sur Enregistrer.

4. Une fois le groupe cible créé, vous devez activer la permanence :

   • Ouvrez la page Groupe cible AWS (EC2> Équilibreurs de charge> Groupes cibles), sélectionnez l’instance d’équilibreur de charge cible que vous venez de configurer. Dans le menu Actions, sélectionnez Modifier les attributs.
   • Sur la page Modifier les attributs, sélectionnez Persistance, spécifiez une durée 1 day, puis Enregistrer les modifications.

5. Sur l’équilibreur de charge, mettez à jour les règles d’écoute. Sélectionnez l’équilibreur de charge que vous avez configuré pour ce déploiement, puis cliquez sur l’onglet Écouteurs.

   • Pour HTTP:80, cliquez sur Afficher/modifier les règles. Dans la page Règles résultante, cliquez sur l’icône de modification (une fois en haut de la page, puis à nouveau près de la règle) pour modifier la règle. Supprimez la règle THEN existante et remplacez-la en cliquant sur Ajouter une action > Rediriger vers.... Dans la configuration THEN résultante, spécifiez les ports HTTPS et 443 et conservez les paramètres par défaut des autres options. Enregistrez le paramètre puis cliquez sur Mettre à jour.
   • Pour HTTP:443, cliquez sur Afficher/modifier les règles. Dans la page Règles résultante, cliquez sur l’icône de modification (une fois en haut de la page, puis à nouveau près de la règle) pour modifier la règle. Dans la configuration THEN, sous Transférer vers..., modifiez le groupe cible par le groupe HTTPS que vous venez de créer. Sous Persistance au niveau du groupe, activez la persistance et définissez la durée sur 1 jour. Enregistrez le paramètre puis cliquez sur Mettre à jour.

Étape 6 : Vérifier SSL

Vérifiez la configuration en accédant à https://tableau.example.com.