Gids voor bedrijfsbrede implementatie van Tableau Server

Apache installeren

Voer de volgende procedure uit op beide EC2-hosts (Proxy 1 en Proxy 2). Als u in AWS implementeert volgens het referentiearchitectuurvoorbeeld, moet u over twee beschikbaarheidszones beschikken en in elke zone één proxyserver uitvoeren.

1. Apache installeren:

   sudo yum update -y
   sudo yum install -y httpd

2. Definieer de configuratie zodanig dat Apache wordt gestart bij opnieuw opstarten:

   sudo systemctl enable --now httpd

3. Controleer of de door u geïnstalleerde versie van httpd proxy_hcheck_module bevat:

   sudo httpd -M

   De proxy_hcheck_module is vereist. Als uw versie van httpd deze module niet bevat, moet u een update uitvoeren naar een versie van httpd die deze module wel bevat.

Proxy configureren om de connectiviteit met Tableau Server te testen

Voer deze procedure uit op een van de proxyhosts (Proxy 1). Het doel van deze stap is om de connectiviteit tussen internet, uw proxyserver en de Tableau-server in de privébeveiligingsgroep te controleren.

1. Maak een bestand met de naam tableau.conf en voeg het toe aan de map /etc/httpd/conf.d.

   Kopieer de volgende code en geef de sleutels ProxyPass en ProxyPassReverse op met het privé-IP-adres van Tableau Server-knooppunt 1.

   Belangrijk: de onderstaande configuratie is niet beveiligd en mag niet in productie worden gebruikt. Deze configuratie mag alleen tijdens het installatieproces worden gebruikt om de end-to-end-connectiviteit te verifiëren.

   Als het privé-IP-adres van knooppunt 1 bijvoorbeeld 10.0.30.32 is, is de inhoud van het bestand tableau.conf als volgt:

   <VirtualHost *:80>
   ProxyPreserveHost On
   ProxyPass "/" "http://10.0.30.32:80/"
   ProxyPassReverse "/" "http://10.0.30.32:80/"
   </VirtualHost>

2. Start httpd opnieuw:

   sudo systemctl restart httpd

Configureer de loadbalancer als een HTTP-listener. De procedure hier beschrijft hoe u een loadbalancer toevoegt in AWS.

Stap 1: Doelgroep maken

Een doelgroep is een AWS-configuratie die de EC2-instanties definieert waarop uw proxyservers draaien. Dit zijn de doelen voor het verkeer van de LBS.

1. EC2 >Target groups (Doelgroepen) > Create target group (Doelgroep)

2. Doe het volgende op de pagina Create (Maken):

   • Voer een doelgroepnaam in, bijvoorbeeld TG-internal-HTTP.
   • Doeltype: instanties
   • Protocol: HTTP
   • Poort: 80
   • VPC: selecteer uw VPC.
   • Voeg de te lezen codelijst toe via Health checks (Statuscontroles) > Advanced health checks settings (Geavanceerde instellingen voor statuscontroles) > Success codes (Succescodes): 200,303.
   • Klik op Maken.

3. Selecteer de doelgroep die u zojuist hebt gemaakt en klik vervolgens op het tabblad Targets (Doelen): 

   • Klik op Edit (Bewerken).
   • Selecteer de EC2-instanties (of één instantie als u er één tegelijk configureert) waarop de proxytoepassing wordt uitgevoerd en klik vervolgens op Toevoegen aan geregistreerd.
   • Klik op Opslaan.

Stap 2: De loadbalancer-wizard starten

1. EC2> Load Balancers (Loadbalancers) > Create Load Balancer (Loadbalancer maken)

2. Maak op de pagina 'Select load balancer type' (Type loadbalancer selecteren) een toepassings-loadbalancer.

Opmerking: de gebruikersinterface die wordt weergegeven om de loadbalancer te configureren, is niet consistent in alle AWS-datacenters. De onderstaande procedure, 'Wizardconfiguratie', geeft aan welke instellingen moeten worden toegewezen in de AWS-configuratiewizard die begint met Step 1 Configure Load Balancer (Stap 1 Loadbalancer configureren). 

Als uw datacenter alle configuraties weergeeft op één pagina met onderaan de knop Create load balancer (Loadbalancer maken), volgt u de onderstaande procedure 'Configuratie op één pagina'.

Stap 3: Stickiness inschakelen

1. Nadat u de loadbalancer hebt gemaakt, moet u 'stickiness' (sessieaffiniteit) inschakelen voor de doelgroep.

   • Open de AWS-pagina voor de doelgroep (EC2> Load Balancing (Taakverdeling) > Target Groups (Doelgroepen)) en selecteer de doelgroepinstantie die u zojuist hebt ingesteld. Selecteer in het menu Action (Actie) de optie Edit attributes (Attributen bewerken).
   • Selecteer op de pagina Edit attributes (Attributen bewerken) de optie Stickiness (sessieaffiniteit), geef een duur van 1 day (1 dag) op en klik vervolgens op Save changes (Wijzigingen opslaan).

2. Schakel stickiness in voor de loadbalancer op de HTTP-listener. Selecteer de loadbalancer die u zojuist hebt geconfigureerd en klik vervolgens op het tabblad Listeners:

   • Klik voor HTTP:80 op View/edit rules (Regels weergeven/bewerken). Klik op de resulterende pagina Rules (Regels) op het bewerkingspictogram (eenmaal bovenaan de pagina en vervolgens nogmaals naast de regel) om de regel te bewerken. Verwijder de bestaande THEN-regel en vervang deze door op Add action (Actie toevoegen) > Forward to... (Doorsturen naar) te klikken. Specificeer in de hieruit voortvloeiende THEN-configuratie de doelgroep die u hebt gemaakt. Schakel Stickiness in onder Group-level stickiness (Sessieaffiniteit op groepsniveau) en stel de duur in op 1 dag. Sla de instelling op en klik vervolgens op Update (Bijwerken).

Stap 4: De time-out voor inactiviteit op de loadbalancer instellen

Werk de inactiviteitstime-out voor de loadbalancer bij naar 400 seconden.

Selecteer de loadbalancer die u voor deze implementatie hebt geconfigureerd en klik vervolgens op Actions (Acties) > Edit attributes (Kenmerken bewerken). Stel Idle timeout (Time-out inactiviteit) in op 400 seconden en klik op Save (Opslaan).

Stap 5: LBS-connectiviteit controleren

Open de AWS-pagina voor de doelgroep (EC2> Load Balancers) en selecteer de loadbalancer-instantie die u zojuist hebt ingesteld.

Kopieer de DNS-naam onder Description (Beschrijving) en plak deze in een browser om toegang te krijgen tot de aanmeldingspagina van Tableau Server.

Als u een 500-niveaufout krijgt, moet u uw proxyservers mogelijk opnieuw opstarten.

Een Tableau-beheerdersaccount maken

Een veelgemaakte fout bij het configureren van SAML is dat vóór inschakeling van SSO geen beheerdersaccount wordt gemaakt op Tableau Server.

De eerste stap is het maken van een account op Tableau Server met de rol van Serverbeheerder. Voor het Okta-voorbeeldscenario moet de gebruikersnaam een geldige e-mailadresnotatie hebben, bijvoorbeeld gebruiker@voorbeeld.com. U moet een wachtwoord voor deze gebruiker instellen, maar het wachtwoord wordt niet gebruikt nadat SAML is geconfigureerd.

Okta-toepassing voor voorafgaande verificatie configureren

Voor het end-to-end-scenario dat in deze sectie wordt beschreven, zijn twee Okta-toepassingen nodig:

• Okta-toepassing voor voorafgaande verificatie
• Tableau Server-toepassing van Okta

Elk van deze toepassingen is gekoppeld aan verschillende metadata die u respectievelijk op de reverse proxy en Tableau Server moet configureren.

In deze procedure wordt beschreven hoe u de Okta-toepassing voor voorafgaande verificatie maakt en configureert. Verderop in dit onderwerp gaat u de Tableau Server-toepassing van Okta maken. Zie de Okta Developer-webpagina(Link wordt in een nieuw venster geopend) (in het Engels) voor informatie over een gratis Okta-proefaccount met een beperkt aantal gebruikers.

Maak een SAML-app-integratie voor de Mellon-serviceprovider voor voorafgaande verificatie.

1. Open het Okta-beheerdashboard > Applications > Create App Integration (Toepassingen > App-integratie maken).

2. Selecteer op de pagina Create a new app integration (Nieuwe app-integratie maken) de optie SAML 2.0 en klik dan op Next (Volgende).

3. Voer op het tabblad General Settings (Algemene instellingen) een app-naam in, bijvoorbeeld Tableau Pre-Auth en klik op Next (Volgende).

4. Doe het volgende op het tabblad Configure SAML (SAML configureren):

   • URL voor eenmalige aanmelding (SSO). Het laatste element van het pad in de URL voor eenmalige aanmelding wordt aangeduid als MellonEndpointPath in het configuratiebestand mellon.conf dat verderop in deze procedure volgt. U kunt elk gewenst eindpunt opgeven. In dit voorbeeld is sso het eindpunt. Het laatste element, postResponse, is vereist: https://tableau.example.com/sso/postResponse.
   • Schakel het selectievakje Use this for Recipient URL and Destination URL (Dit gebruiken voor ontvangers-URL en bestemmings-URL) uit.
   • Recipient URL (Ontvangers-URL): Hetzelfde als de SSO-URL, maar met HTTP. Bijvoorbeeld http://tableau.example.com/sso/postResponse.
   • Destination URL (Bestemmings-URL): hetzelfde als de SSO-URL, maar met HTTP. Bijvoorbeeld http://tableau.example.com/sso/postResponse.
   • Audience URI (SP Entity ID) (Doelgroep-URI (SP-entiteits-ID). Bijvoorbeeld https://tableau.example.com.
   • Name ID Format (Notatie van naam-ID): EmailAddress
   • Application username (Toepassingsgebruikersnaam): Email
   • Attributes Statements (Kenmerkinstructies): Name = mail; Name format (Naamnotatie)= Unspecified; Value (Waarde) = user.email.

   Klik op Next (Volgende).

5. Selecteer op het tabblad Feedback het volgende:

   • I'm an Okta customer adding an internal app (Ik ben een Okta-klant die een interne app toevoegt)
   • This is an internal app that we have created (Dit is een interne app die we hebben gemaakt)
   • Klik op Finish (Voltooien).

6. Maak het IdP-metadatabestand voor voorafgaande verificatie:

   • In Okta: Applications > (Toepassingen) Applications > Uw nieuwe toepassing (bijv. Tableau Pre-Auth) > Sign On (Aanmelden)
   • Klik bij SAML Signing Certificates (SAML-ondertekeningscertificaten) op View SAML setup instructions (SAML-installatie-instructies weergeven).
   • Scroll op de pagina How to Configure SAML 2.0 for <pre-auth> Application (SAML 2.0 configureren voor<pre-auth>-toepassing) omlaag naar de sectie Optional (Optioneel), Provide the following IDP metadata to your SP provider (de volgende IDP-metadata doorgeven aan uw SP-provider).
   • Kopieer de inhoud van het XML-veld en sla deze op in een bestand met de naam pre-auth_idp_metadata.xml.

7. (Optioneel) Configureer meervoudige verificatie:

   • In Okta: Applications > (Toepassingen) Applications > Uw nieuwe toepassing (bijv. Tableau Pre-Auth) > Sign On (Aanmelden)
   • Klik onder Sign On Policy (Aanmeldingsbeleid) op Add Rule (Regel toevoegen).
   • Geef bij App Sign On Rule (App-aanmeldingsregel) een naam en de verschillende MFA-opties op. Om de functionaliteit te testen, kunt u alle opties op de standaardinstellingen laten staan. Onder Actions (Acties) moet u echter Prompt for factor (Om factor vragen) selecteren en vervolgens opgeven hoe vaak gebruikers zich moeten aanmelden. Klik op Save (Opslaan).

Okta-gebruiker maken en toewijzen

1. Maak in Okta een gebruiker aan met de gebruikersnaam die u in Tableau hebt gemaakt (gebruiker@voorbeeld.com): Directory > People (Mensen) > Add person (Persoon toevoegen).
2. Nadat de gebruiker is aangemaakt, wijst u de nieuwe Okta-app toe aan die persoon: klik op de gebruikersnaam en wijs de toepassing toe in Assign Application (Toepassing toewijzen).

1. In het Okta-dashboard: Applications (Toepassingen) > Applications > Browse App Catalog (App-catalogus doorzoeken)
2. Zoek in Browse App Integration Catalog (App-integratiecatalogus doorzoeken) naar Tableau, selecteer de Tableau Server-tegel en klik vervolgens op Add (Toevoegen).
3. Voer bij Add Tableau Server (Tableau Server toevoegen) > Algemene instellingen (Algemene instellingen) een label in en klik vervolgens op Next (Volgende).
4. Selecteer in ‘Sign-On Options’ (Aanmeldingsopties) de optie SAML 2.0 en scroll vervolgens omlaag naar 'Advanced Sign-on Settings' (Geavanceerde aanmeldingsinstellingen):
   • SAML Entity ID (SAML-entiteits-ID): voer de openbare URL in, bijvoorbeeld https://tableau.example.com.
   • Application user name format (Notatie toepassingsgebruikersnaam): Email (E-mail)
5. Klik op de link Identity Provider metadata (Identiteitsprovider-metadata) om een browser te starten. Kopieer de browserlink. Dit is de link die u gebruikt wanneer u Tableau configureert in de volgende procedure.
6. Klik op Done (Gereed).
7. Wijs de nieuwe Tableau Server-toepassing van Okta toe aan uw gebruiker (gebruiker@voorbeeld.com): Klik op de gebruikersnaam en wijs de toepassing toe in Assign Application (Toepassing toewijzen).

Voer deze procedure uit op Tableau Server-knooppunt 1

1. Download de Tableau Server-toepassingsmetadata van Okta. Gebruik de link die u bij de vorige procedure hebt opgeslagen:

   wget https://dev-66144217.okta.com/app/exk1egxgt1fhjkSeS5d7/sso/saml/metadata -O idp_metadata.xml

2. Kopieer een TLS-certificaat en bijbehorend sleutelbestand naar de Tableau Server. Het sleutelbestand moet een RSA-sleutel zijn. Zie SAML-vereisten (Linux(Link wordt in een nieuw venster geopend)) voor meer informatie over SAML-certificaat- en IdP-vereisten.

   Om het beheer en de implementatie van certificaten te vereenvoudigen en als best practice voor de beveiliging raden wij aan om certificaten te gebruiken die zijn gegenereerd door een grote, vertrouwde externe CA (certificeringsinstantie). U kunt er ook voor kiezen om zelfondertekende certificaten te genereren of certificaten van een PKI voor TLS te gebruiken.

   Als u geen TLS-certificaat hebt, kunt u een zelfondertekend certificaat genereren met behulp van de onderstaande ingesloten procedure.

   Een zelfondertekend certificaat genereren

   Voer deze procedure uit op Tableau Server-knooppunt 1.

   1. Genereer een root-CA-sleutel:

      openssl genrsa -out rootCAKey-saml.pem 2048

   2. Maak het root-CA-certificaat:

      openssl req -x509 -sha256 -new -nodes -key rootCAKey-saml.pem -days 3650 -out rootCACert-saml.pem

      U wordt gevraagd waarden in te voeren voor de certificaatvelden. Bijvoorbeeld:

      Country Name (2 letter code) [XX]:US
      State or Province Name (full name) []:Washington
      Locality Name (eg, city) [Default City]:Seattle
      Organization Name (eg, company) [Default Company Ltd]:Tableau
      Organizational Unit Name (eg, section) []:Operations
      Common Name (eg, your name or your server's hostname) []:tableau.example.com
      Email Address []:example@tableau.com

   3. Maak het certificaat en de bijbehorende sleutel (server-saml.csr en server-saml.key in het onderstaande voorbeeld). De onderwerpnaam voor het certificaat moet overeenkomen met de openbare hostnaam van de Tableau-host. De onderwerpnaam wordt ingesteld met de optie -subj in de notatie "/CN=<host-name>", bijvoorbeeld:

      openssl req -new -nodes -text -out server-saml.csr -keyout server-saml.key -subj "/CN=tableau.example.com"

   4. Onderteken het nieuwe certificaat met het CA-certificaat dat u hierboven hebt gemaakt. De volgende opdracht geeft het certificaat ook weer in de crt-notatie:

      openssl x509 -req -in server-saml.csr -days 3650 -CA rootCACert-saml.pem -CAkey rootCAKey-saml.pem -CAcreateserial -out server-saml.crt

   5. Converteer het sleutelbestand naar RSA. Tableau vereist een RSA-sleutelbestand voor SAML. Voer de volgende opdracht uit om de sleutel te converteren:

      openssl rsa -in server-saml.key -out server-saml-rsa.key

3. Configureer SAML. Voer de volgende opdracht uit en geef daarbij uw entiteits-ID en retour-URL op, evenals de paden naar het metadatabestand, certificaatbestand en sleutelbestand:

   tsm authentication saml configure --idp-entity-id "https://tableau.example.com" --idp-return-url "https://tableau.example.com" --idp-metadata idp_metadata.xml --cert-file "server-saml.crt" --key-file "server-saml-rsa.key"

   tsm authentication saml enable

4. Als uw organisatie Tableau Desktop 2021.4 of hoger gebruikt, moet u de volgende opdracht uitvoeren om verificatie via de reverse-proxyservers in te schakelen.

   Versies van Tableau Desktop 2021.2.1 - 2021.3 werken zonder dat u deze opdracht uitvoert, op voorwaarde dat de module voor voorafgaande verificatie (bijvoorbeeld Mellon) is geconfigureerd om het bewaren van cookies in het topleveldomein toe te staan.

   tsm configuration set -k features.ExternalBrowserOAuth -v false

5. Pas configuratiewijzigingen toe:

   tsm pending-changes apply

SSL/TLS configureren van loadbalancer tot Tableau Server

Sommige organisaties hebben een end-to-end-encryptiekanaal nodig van de client naar de back-endservice. De standaardreferentiearchitectuur zoals tot dusver beschreven, specificeert SSL van de client tot de loadbalancer die op de weblaag van uw organisatie wordt uitgevoerd.

Om SSL van de loadbalancer tot Tableau Server te configureren, moet u het volgende doen:

• Een geldig SSL-certificaat installeren op zowel Tableau als de proxyservers.
• SSL van de loadbalancer tot de reverse-proxyservers configureren.
• SSL van de proxyservers tot Tableau Server configureren.
• U kunt SSL ook configureren van Tableau Server tot de PostgreSQL-instantie.

In de rest van dit onderwerp wordt deze implementatie beschreven in de context van de AWS-voorbeeldreferentiearchitectuur.

Voorbeeld: SSL/TLS configureren in AWS-referentiearchitectuur

In dit gedeelte wordt beschreven hoe u SSL respectievelijk op Tableau en op een Apache-proxyserver configureert in de voorbeeld-AWS-referentiearchitectuur.

De Linux-procedures in dit voorbeeld tonen opdrachten voor RHEL-achtige distributies. De opdrachten hier zijn specifiek ontwikkeld met de Amazon Linux 2-distributie. Als u de Ubuntu-distributie gebruikt, moet u de opdrachten dienovereenkomstig bewerken.

Stap 1: Certificaten en bijbehorende sleutels verzamelen

Om het beheer en de implementatie van certificaten te vereenvoudigen en als best practice voor de beveiliging raden wij aan om certificaten te gebruiken die zijn gegenereerd door een grote, vertrouwde externe CA (certificeringsinstantie).

U kunt er ook voor kiezen om zelfondertekende certificaten te genereren of certificaten van een PKI voor TLS te gebruiken.

De volgende procedure beschrijft hoe u zelfondertekende certificaten genereert. Als u certificaten van derden gebruikt, zoals wij aanbevelen, kunt u deze procedure overslaan.

Voer deze procedure uit op een van de proxyhosts. Nadat u het certificaat en de bijbehorende sleutel hebt gegenereerd, deelt u deze met de andere proxyhost en met Tableau Server-knooppunt 1.

1. Genereer een root-CA-sleutel:

   openssl genrsa -out rootCAKey.pem 2048

2. Maak het root-CA-certificaat:

   openssl req -x509 -sha256 -new -nodes -key rootCAKey.pem -days 3650 -out rootCACert.pem

   U wordt gevraagd waarden in te voeren voor de certificaatvelden. Bijvoorbeeld:

   Country Name (2 letter code) [XX]:US
   State or Province Name (full name) []:Washington
   Locality Name (eg, city) [Default City]:Seattle
   Organization Name (eg, company) [Default Company Ltd]:Tableau
   Organizational Unit Name (eg, section) []:Operations
   Common Name (eg, your name or your server's hostname) []:tableau.example.com
   Email Address []:example@tableau.com

3. Maak het certificaat en de bijbehorende sleutel (serverssl.csr en serverssl.key in het onderstaande voorbeeld). De onderwerpnaam voor het certificaat moet overeenkomen met de openbare hostnaam van de Tableau-host. De onderwerpnaam wordt ingesteld met de optie -subj in de notatie "/CN=<host-name>", bijvoorbeeld:

   openssl req -new -nodes -text -out serverssl.csr -keyout serverssl.key -subj "/CN=tableau.example.com"

4. Onderteken het nieuwe certificaat met het CA-certificaat dat u in stap 2 hebt gemaakt. De volgende opdracht geeft het certificaat ook weer in de crt-notatie:

   openssl x509 -req -in serverssl.csr -days 3650 -CA rootCACert.pem -CAkey rootCAKey.pem -CAcreateserial -out serverssl.crt

Stap 2: Tableau Server voor SSL configureren

Voer deze procedure uit op beide proxyservers.

1. Installeer de Apache SSL-module:

   sudo yum install mod_ssl

2. Maak de map /etc/ssl/private:

   sudo mkdir -p /etc/ssl/private

3. Kopieer de crt- en sleutelbestanden naar de volgende /etc/ssl/-paden:

   sudo cp serverssl.crt /etc/ssl/certs/

   sudo cp serverssl.key /etc/ssl/private/

4. Werk het bestaande tableau.conf-bestand bij met de volgende updates:

   • Voeg het SSL-rewrite-blok toe:

     RewriteEngine on
     RewriteCond %{SERVER_NAME} =tableau.example.com
     RewriteRule ^ https://%{SERVER_NAME}%{REQUEST_URI} [END,NE,R=permanent]

   • Werk in het SSL-rewrite-blok de RewriteCond servernaam bij: voeg uw openbare hostnaam toe, bijvoorbeeld tableau.example.com
   • Wijzig <VirtualHost *:80> in <VirtualHost *:443>.
   • Plaats het <VirtualHost *:443>-blok en het <Location />-blok in <IfModule mod_ssl.c> ... </IfModule>.
   • BalancerMember: verander het protocol van http in https.
   • Voeg SSL*-elementen toe in het <VirtualHost *:443>-blok:

     SSLEngine on
     SSLCertificateFile /etc/ssl/certs/serverssl.crt
     SSLCertificateKeyFile /etc/ssl/private/serverssl.key
     SSLProxyEngine on
     SSLProxyVerify none
     SSLProxyCheckPeerName off
     SSLProxyCheckPeerExpire off

   • In het LogLevel-element: voeg ssl:warn toe.
   • Optioneel: als u een verificatiemodule hebt geïnstalleerd en geconfigureerd, staan er mogelijk extra elementen in het bestand tableau.conf. Het blok <Location /> </Location> zal bijvoorbeeld elementen bevatten.

   Hier ziet u een voorbeeld van een tableau.conf-bestand dat is geconfigureerd voor SSL:

   RewriteEngine on
   RewriteCond %{SERVER_NAME} =tableau.example.com
   RewriteRule ^ https://%{SERVER_NAME}%{REQUEST_URI} [END,NE,R=permanent]
   
   <IfModule mod_ssl.c>
   <VirtualHost *:443>
   ServerAdmin admin@example.com
   ProxyHCExpr ok234 {%{REQUEST_STATUS} =~ /^[234]/}
   Header add Set-Cookie "ROUTEID=.%{BALANCER_WORKER_ROUTE}e; path=/" env=BALANCER_ROUTE_CHANGED
   <Proxy balancer://tableau>
   BalancerMember https://10.0.3.36/ route=1 hcmethod=GET hcexpr=ok234 hcuri=/favicon.ico
   BalancerMember https://10.0.4.15/ route=2 hcmethod=GET hcexpr=ok234 hcuri=/favicon.ico
   ProxySet stickysession=ROUTEID
   </Proxy>
   ProxyPreserveHost On
   ProxyPass / balancer://tableau/
   ProxyPassReverse / balancer://tableau/
   DocumentRoot /var/www/html
   ServerName tableau.example.com
   ServerSignature Off
   ErrorLog logs/error_sp.log
   CustomLog logs/access_sp.log combined
   LogLevel info ssl:warn
   SSLEngine on
   SSLCertificateFile /etc/ssl/certs/serverssl.crt
   SSLCertificateKeyFile /etc/ssl/private/serverssl.key
   SSLProxyEngine on
   SSLProxyVerify none
   SSLProxyCheckPeerName off
   SSLProxyCheckPeerExpire off
   </VirtualHost>
   <Location />
   #If you have configured a pre-auth module (e.g. Mellon) include those elements here.
   </Location>
   </IfModule>

5. Voeg het bestand index.html toe om 403-fouten te onderdrukken:

   sudo touch /var/www/html/index.html

6. Start httpd opnieuw:

   sudo systemctl restart httpd

Stap 3: Tableau Server voor externe SSL configureren

Kopieer de bestanden serverssl.crt en serverssl.key van de host Proxy 1 naar de oorspronkelijke Tableau Server (knooppunt 1).

Voer de volgende opdrachten uit op knooppunt 1:

tsm security external-ssl enable --cert-file serverssl.crt --key-file serverssl.key
tsm pending-changes apply

Stap 4: Optionele verificatieconfiguratie

Als u een externe identiteitsprovider voor Tableau hebt geconfigureerd, moet u de retour-URL's waarschijnlijk bijwerken in het IdP-beheerdashboard.

Als u bijvoorbeeld een Okta-toepassing voor voorafgaande verificatie gebruikt, moet u de toepassing zodanig bijwerken dat deze het HTTPS-protocol gebruikt voor de ontvangers-URL en de bestemmings-URL.

Stap 5: AWS-loadbalancer voor HTTPS configureren

Als u implementeert met AWS-loadbalancer zoals gedocumenteerd in deze gids, configureert u de AWS-loadbalancer opnieuw om HTTPS-verkeer naar de proxyservers te sturen:

1. Hef de registratie van de bestaande HTTP-doelgroep op:

   Selecteer in Target Groups, (Doelgroepen) de HTTP-doelgroep die is geconfigureerd voor de loadbalancer, klik op Actions (Acties) en klik vervolgens op Register and deregister instance (Instantie registreren en deregistreren).

   Selecteer op de pagina Register and deregister targets (Doelen registreren en deregistreren) de instanties die momenteel geconfigureerd zijn, klik op Deregister (Deregistreren) en klik vervolgens op Save (Opslaan).

2. Maak een HTTPS-doelgroep:

   Target groups > Create target group (Doelgroepen) > Doelgroep maken)

   • Selecteer 'Instances' (Instanties).
   • Voer een doelgroepnaam in, bijvoorbeeld TG-internal-HTTPS.
   • Selecteer uw VPC.
   • Protocol: HTTPS 443
   • Voeg de te lezen codelijst toe via Health checks (Statuscontroles) > Advanced health checks settings (Geavanceerde instellingen voor statuscontroles) > Success codes (Succescodes): 200,303.
   • Klik op Create (Maken).

3. Selecteer de doelgroep die u zojuist hebt gemaakt en klik vervolgens op het tabblad Targets (Doelen): 

   • Klik op Edit (Bewerken).
   • Selecteer de EC2-instanties waarop de proxytoepassing wordt uitgevoerd en klik vervolgens op Toevoegen aan geregistreerd.
   • Klik op Opslaan.

4. Nadat u de doelgroep hebt aangemaakt, moet u 'stickiness' (sessieaffiniteit) inschakelen:

   • Open de AWS-pagina voor de doelgroep (EC2> Load Balancing (Taakverdeling) > Target Groups (Doelgroepen)) en selecteer de doelgroepinstantie die u zojuist hebt ingesteld. Selecteer in het menu Action (Actie) de optie Edit attributes (Attributen bewerken).
   • Selecteer op de pagina Edit attributes (Attributen bewerken) de optie Stickiness (sessieaffiniteit), geef een duur van 1 day (1 dag) op en klik vervolgens op Save changes (Wijzigingen opslaan).

5. Werk de listenerregels bij op de loadbalancer. Selecteer de loadbalancer die u voor deze implementatie hebt geconfigureerd en klik vervolgens op het tabblad Listeners.

   • Klik voor HTTP:80 op View/edit rules (Regels weergeven/bewerken). Klik op de resulterende pagina Rules (Regels) op het bewerkingspictogram (eenmaal bovenaan de pagina en vervolgens nogmaals naast de regel) om de regel te bewerken. Verwijder de bestaande THEN-regel en vervang deze door op Add action (Actie toevoegen) > Redirect to... (Omleiden naar) te klikken. Geef in de resulterende THEN-configuratie HTTPS en poort 443 op en laat de overige opties op de standaardinstellingen staan. Sla de instelling op en klik vervolgens op Update (Bijwerken).
   • Klik voor HTTP:443 op View/edit rules (Regels weergeven/bewerken). Klik op de resulterende pagina Rules (Regels) op het bewerkingspictogram (eenmaal bovenaan de pagina en vervolgens nogmaals naast de regel) om de regel te bewerken. Wijzig de doelgroep in de zojuist gemaakte HTTPS-groep onder Forward to... (Doorsturen naar) in de THEN-configuratie. Schakel Stickiness in onder Group-level stickiness (Sessieaffiniteit op groepsniveau) en stel de duur in op 1 dag. Sla de instelling op en klik vervolgens op Update (Bijwerken).

Stap 6: SSL controleren

Controleer de configuratie door naar https://tableau.example.com te gaan.