Guida alla distribuzione di Tableau Server per le organizzazioni di grandi dimensioni

Nella parte 3 sono descritti i requisiti per preparare la tua infrastruttura alla distribuzione dell’architettura di riferimento di Tableau Server. Prima di iniziare, è consigliabile esaminare la sezione Parte 2 - Informazioni sull’architettura di riferimento per la distribuzione di Tableau Server.

Oltre alle descrizioni dei requisiti, questo argomento fornisce un esempio di implementazione dell’architettura di riferimento in un ambiente AWS. Il resto di questa guida si basa sull’esempio dell’architettura di riferimento AWS iniziato in questo argomento.

Un principio fondamentale dell’architettura di riferimento è la standardizzazione con le procedure consigliate di sicurezza per i data center. In particolare, l’architettura è progettata per separare i servizi in subnet di rete protette. La comunicazione tra le subnet è limitata al traffico di protocolli e porte specifici.

Il diagramma seguente illustra la progettazione delle subnet dell’architettura di riferimento per una distribuzione in locale o una distribuzione cloud gestita dal cliente. Per un esempio di distribuzione cloud, consulta la sezione seguente Esempio: configurare subnet e gruppi di sicurezza in AWS.

Subnet

Crea tre subnet: 

• Un livello Web
• Un livello applicazione
• Una subnet dati.

Regole firewall/dei gruppi di sicurezza

Le schede seguenti descrivono le regole firewall per ogni livello del data center. Per le regole dei gruppi di sicurezza specifiche di AWS, consulta la sezione più avanti in questo argomento.

Esempio: configurare subnet e gruppi di sicurezza in AWS

In questa sezione vengono fornite le procedure dettagliate per creare e configurare l’ambiente VPC e di rete per la distribuzione dell’architettura di riferimento di Tableau Server in AWS.

Le diapositive seguenti mostrano l’architettura di riferimento in quattro livelli. Man mano che procedi nelle diapositive, gli elementi dei componenti vengono sovrapposti sulla mappa della topologia:

1. Topologia della sottorete VPC e istanze EC2: un host bastion, due server proxy inversi, quattro sistemi Tableau Server e almeno un server PostgreSQL.
2. Flusso del protocollo e connettività Internet. Tutto il traffico in entrata viene gestito tramite il gateway Internet di AWS. Il traffico verso Internet viene instradato attraverso il NAT.
3. Aree di disponibilità. Il proxy, Tableau Server e gli host PostgreSQL vengono distribuiti uniformemente in due aree di disponibilità.
4. Gruppi di sicurezza. Quattro gruppi di sicurezza (Pubblico, Privato, Dati e Bastion) proteggono ogni livello a livello di protocollo.

Aree di disponibilità AWS e disponibilità elevata

L’architettura di riferimento presentata in questa Guida specifica una distribuzione che assicura la disponibilità tramite ridondanza in caso di problemi di un singolo host. Tuttavia, nel caso AWS in cui l’architettura di riferimento è distribuita in due aree di disponibilità, la disponibilità risulta compromessa nella situazione molto rara in cui si verifica un problema in un’area di disponibilità.

Configurazione del VPC

In questa sezione viene descritto come:

• Installare e configurare il VPC
• Configurare la connettività Internet
• Configurare le subnet
• Creare e configurare i gruppi di sicurezza

Configurare il VPC

La procedura in questa sezione viene mappata all’interfaccia utente nell’esperienza VPC "classica". Puoi attivare o disattivare l’interfaccia utente per mostrare la visualizzazione classica disattivando la nuova esperienza VPC nell’angolo in alto a sinistra di AWS VPC Dashboard.

Esegui la procedura guidata VPC per creare le subnet private e pubbliche predefinite, il routing predefinito e gli ACL di rete.

1. Prima di configurare un VPC, devi creare un IP Elastic. Crea un’allocazione utilizzando tutte le impostazioni predefinite.
2. Esegui la procedura guidata VPC > "VPC con subnet pubbliche e private"
3. Accetta la maggior parte delle impostazioni predefinite, ad eccezione di quanto segue: 
   • Immetti il nome di un VPC.
   • Specifica l’ID di allocazione dell’IP Elastic.
   •  Specifica le seguenti maschere CIDR:
     • CIDR IPv4 della subnet pubblica: 10.0.1.0/24, rinomina questa subnet Public-a.
     • CIDR IPv4 della subnet privata: 10.0.30.0/24, rinomina questa subnet Private-a.
   • Area di disponibilità: per entrambe le subnet, seleziona l’opzione a per la regione in cui ti trovi.

     Nota: ai fini di questo esempio, vengono utilizzati a e b per distinguere tra le aree di disponibilità in un determinato data center AWS. In AWS, i nomi delle aree di disponibilità potrebbero non corrispondere agli esempi riportati in questo documento. Ad esempio, alcune aree di disponibilità includono le aree c e d all’interno di un data center.

4. Fai clic su Crea VPC.
5. Dopo aver creato il VPC, crea le subnet Public-b, Private-b, Data e Bastion. Per creare una subnet, fai clic su Subnet > Crea subnet.

   • Public-b: per l’area di disponibilità, seleziona l’opzione b per la regione in cui ti trovi. Blocco CIDR: 10.0.2.0/24

   • Private-b: per l’area di disponibilità, seleziona l’opzione b per la regione in cui ti trovi. Blocco CIDR: 10.0.31.0/24
   • Data: per l’area di disponibilità, seleziona l’area a per la regione in cui ti trovi. Blocco CIDR: 10.0.50.0/24. Facoltativo: se prevedi di replicare il database esterno in un cluster PostgreSQL, crea una subnet Data-b nell’area di disponibilità b con un blocco CIDR di 10.0.51.0/24.
   • Bastion: per l’area di disponibilità, seleziona una delle due aree. Blocco CIDR: 10.0.0.0/24
6. Dopo aver creato le subnet, modifica le tabelle di route sulle subnet Public e Bastion in modo da utilizzare la tabella di route configurata per il gateway Internet (IGW) associato. Modifica inoltre le subnet Private e Data in modo da utilizzare la tabella di route configurata per Network Address Translation (NAT).
   • Per determinare quale tabella di route è configurata con IGW o NAT, fai clic su Tabelle di route nella dashboard di AWS. Seleziona uno dei due collegamenti alla tabella di route per aprire la pagina delle proprietà. Osserva il valore Destinazione in Route > Destinazione > 0.0.0.0/0. Il valore Destinazione differenzia il tipo di route e inizierà con la stringa igw- o nat-.
   • Per aggiornare le tabelle di route, scegli VPC > Subnet > [nome_subnet] > Tabella di route > Modifica associazione tabella di route.

Configurare i gruppi di sicurezza

La procedura guidata VPC crea un singolo gruppo di sicurezza che non verrà utilizzato. Crea i seguenti gruppi di sicurezza (Gruppi di sicurezza > Crea gruppo di sicurezza). Gli host EC2 verranno installati in questi gruppi in due aree di disponibilità, come mostrato nel diagramma precedente.

• Crea un nuovo gruppo di sicurezza: Privato. Qui verranno installati tutti e 4 i nodi di Tableau Server. In una fase successiva del processo di installazione, il gruppo di sicurezza Privato sarà associato alle subnet 10.0.30.0/24 e 10.0.31.0/24.
• Crea un nuovo gruppo di sicurezza: Pubblico. Qui verranno installati i server proxy. In una fase successiva del processo di installazione, il gruppo di sicurezza Pubblico sarà associato alle subnet 10.0.1.0/24 e 10.0.2.0/24.
• Crea un nuovo gruppo di sicurezza: Dati. Qui verrà installato il repository di Tableau esterno PostgreSQL. In una fase successiva del processo di installazione, il gruppo di sicurezza Dati sarà associato alle subnet 10.0.50.0/24 (e, facoltativamente, 10.0.51.0/24).
• Crea un nuovo gruppo di sicurezza: Bastion. Qui verrà installato l’host bastion. In una fase successiva del processo di installazione, il gruppo di sicurezza Bastion sarà associato alla subnet 10.0.0.0/24.

Specificare le regole in entrata e in uscita

In AWS, i gruppi di sicurezza sono analoghi ai firewall in un ambiente locale. Devi specificare il tipo di traffico (ad esempio, https, http e così via), il protocollo (TCP o UDP) e le porte o l’intervallo di porte (ad esempio, 80, 443 e così via) a cui è consentito il passaggio verso e/o dal gruppo di sicurezza. Per ogni protocollo devi specificare anche il traffico di destinazione o di origine.

Regole del gruppo di sicurezza Pubblico

Regole del gruppo di sicurezza Privato

Il gruppo di sicurezza Privato include una regola in entrata per consentire il traffico HTTP dal gruppo di sicurezza Pubblico. Consenti il traffico HTTP solo durante il processo di distribuzione per verificare la connettività. È consigliabile rimuovere la regola in entrata HTTP dopo aver completato la distribuzione del proxy inverso e la configurazione di SSL in Tableau.

Regole del gruppo di sicurezza Dati

Regole del gruppo di sicurezza host Bastion

Abilitare l’assegnazione automatica dell’IP pubblico

In questo modo, ti viene fornito un indirizzo IP per la connessione ai server proxy e all’host bastion.

Per le subnet Public e Bastion:

1. Seleziona la subnet
2. Nel menu Azioni seleziona "Modifica impostazioni IP di assegnazione automatica".
3. Fai clic su "Abilita assegnazione automatica indirizzi IPv4 pubblici".
4. Fai clic su Salva.

Servizio di bilanciamento del carico

Nota : se stai effettuando l’installazione in AWS e seguendo la distribuzione di esempio in questa guida, devi installare e configurare il servizio di bilanciamento del carico AWS in una fase successiva del processo di distribuzione, come descritto in Parte 5 - Configurazione del livello Web.

Per le distribuzioni locali, collabora con gli amministratori di rete per distribuire i servizi di bilanciamento del carico in modo da supportare il livello Web dell’architettura di riferimento:

• Un servizio di bilanciamento del carico dell’applicazione rivolto al Web che accetta le richieste HTTPS dai client Tableau e comunica con i server proxy inversi.
• Proxy inverso: 
  • È consigliabile un minimo di due server proxy per la ridondanza e per gestire il carico client.
  • Riceve il traffico HTTPS dal servizio di bilanciamento del carico.
  • Supporta la sessione permanente per l’host Tableau.
  • Configura il proxy per il bilanciamento del carico round robin in ogni sistema Tableau Server che esegue il processo Gateway.
  • Gestisce le richieste di autenticazione dall’IdP esterno.
• Proxy di inoltro: Tableau Server richiede l’accesso a Internet per la gestione delle licenze e le funzionalità per le mappe. A seconda dell’ambiente del proxy di inoltro, potrebbe essere necessario configurare gli elenchi consentiti del proxy di inoltro per gli URL del servizio Tableau. Vedi Comunicare con Internet (Linux(Il collegamento viene aperto in una nuova finestra)).

Configurare computer host

Hardware minimo consigliato

Le seguenti raccomandazioni si basano sui nostri test con dati reali nell’architettura di riferimento.

Server applicazioni:

• CPU: 8 core fisici (16 vCPU),
• RAM: 128 GB (16 GB/core fisico)
• Spazio su disco: 100 GB

Data Server

• CPU: 8 core fisici (16 vCPU),
• RAM: 128 GB (16 GB/core fisico)
• Spazio su disco: 1 TB. Se la tua distribuzione utilizzerà l’archiviazione esterna per l’archivio file di Tableau, dovrai calcolare lo spazio su disco appropriato. Vedi Installare Tableau Server con l’archivio file esterno (Linux(Il collegamento viene aperto in una nuova finestra)).

Server proxy

• CPU: 2 core fisici (4 vCPU),
• RAM: 8 GB (4 GB/core fisico)
• Spazio su disco: 100 GB

Database del repository esterno

• CPU: 8 core fisici (16 vCPU),
• RAM: 128 GB (16 GB/core fisico)
• Il requisito per lo spazio su disco dipende dal carico dei dati e dall’impatto che avrà sul backup. Consulta la sezione Processi di backup e ripristino nell’argomento Requisiti di spazio su disco (Linux(Il collegamento viene aperto in una nuova finestra)).

Struttura delle directory

In base all’architettura di riferimento, è consigliabile installare il pacchetto di Tableau Server e i dati in percorsi non predefiniti:

• Installa il pacchetto in: /app/tableau_server. Crea questo percorso di directory prima di installare il pacchetto di Tableau Server, quindi specifica questo percorso durante l’installazione.
• Installa i dati di Tableau in: /data/tableau_data. Non creare questa directory prima di installare Tableau Server. Devi invece specificare il percorso durante l’installazione, quindi il programma di installazione di Tableau creerà e autorizzerà il percorso in modo appropriato.

Consulta Eseguire il pacchetto di installazione e inizializzare TSM per i dettagli sull’implementazione.

Esempio: installare e preparare i computer host in AWS

Verifica: connettività del VPC

Dopo aver installato i computer host, verifica la configurazione di rete. Verifica la connettività tra gli host connettendoti con SSH dall’host nel gruppo di sicurezza Bastion agli host in ogni subnet.