Guia de Implantação do Tableau Server Enterprise

A camada da Web da arquitetura de referência deve incluir os seguintes componentes:

• Um balanceador de carga de aplicativo voltado para a Web que aceita solicitações HTTPS de clientes Tableau e se comunica com os servidores proxy reverso.
• Proxy reverso: 
  • Recomendamos a implantação do Tableau Server Independent Gateway.
  • Recomendamos um mínimo de dois servidores proxy para redundância e para lidar com a carga do cliente.
  • Recebe tráfego HTTPS do balanceador de carga.
  • Compatível com sessão fixa para o host do Tableau
  • Configure o proxy para balanceamento de carga round robin para cada Tableau Server executando o processo de Gateway.
  • Lida com solicitações de autenticação de IdP externo.
• Proxy de encaminhamento: o Tableau Server requer acesso à Internet para licenciamento e funcionalidade de mapa. Você deve configurar listas seguras de proxy de encaminhamento para URLs de serviço do Tableau. Consulte Comunicação com a Internet ( Linux(O link abre em nova janela)).
• Todo o tráfego relacionado ao cliente pode ser criptografado por HTTPS:
  • Balanceador de carga de cliente para aplicativo
  • Balanceador de carga de aplicativo para servidores proxy reversos
  • Servidor proxy para Tableau Server
  • Manipulador de autenticação em execução em proxy reverso para IdP
  • Tableau Server para IdP

Tableau Server Independent Gateway

O Tableau Server versão 2022.1 lançou o Tableau Server Independent Gateway. O Independent Gateway é uma instância autônoma do processo de Gateway do Tableau que funciona como um proxy reverso compatível com o Tableau.

O Independent Gateway oferece suporte ao balanceamento de carga round robin simples para os Tableau Servers de back-end. No entanto, o Independent Gateway não se destina a servir como balanceador de carga de aplicativos corporativos. Recomendamos executar o Independent Gateway por trás de um balanceador de carga de aplicativos de classe empresarial.

O Independent Gateway requer uma licença de Advanced Management.

Autenticação e autorização

A arquitetura de referência padrão especifica a instalação do Tableau Server com autenticação local configurada. Neste modelo, os clientes devem se conectar ao Tableau Server para serem autenticados pelo processo de autenticação local nativo do Tableau Server. Não recomendamos o uso desse método de autenticação na arquitetura de referência, porque o cenário exige que os clientes não autenticados se comuniquem na camada do aplicativo, o que é um risco à segurança.

Em vez disso, recomendamos a configuração de um provedor de identidade externo de nível empresarial junto com um módulo AuthN para pré-autenticar todo o tráfego para a camada de aplicativo. Quando configurado com um IdP externo, o processo de autenticação local nativo do Tableau Server não é usado. O Tableau Server autoriza o acesso a recursos na implantação, depois que o IdP autentica os usuários.

Pré-autenticação com um módulo AuthN

No exemplo documentado neste Guia, o SAML SSO está configurado, mas o processo de pré-autenticação pode ser configurado com a maioria dos provedores de identidade externos e um módulo AuthN.

Na arquitetura de referência, o proxy reverso é configurado para criar uma sessão de autenticação de cliente com o IdP, antes de fazer o proxy dessas solicitações para o Tableau Server. Chamamos esse processo de fase de pré-autenticação. O proxy reverso redirecionará apenas sessões de cliente autenticadas para o Tableau Server. O Tableau Server criará uma sessão, verificará a autenticação da sessão com o IdP e retornará a solicitação do cliente.

O diagrama a seguir mostra os detalhes passo a passo do processo de pré-autenticação e autenticação com um módulo AuthN configurado. O proxy reverso pode ser uma solução genérica de terceiros ou o Tableau Server Independent Gateway:

Visão geral da configuração

Esta é uma visão geral do processo de configuração do nível da Web. Verifique a conectividade após cada etapa:

1. Configure dois proxies reversos para fornecer acesso HTTP ao Tableau Server.
2. Configure a lógica de balanceamento de carga com sessões persistentes em servidores proxy para se conectar a cada instância do Tableau Server que executa o processo de Gateway.
3. Configure o balanceamento de carga do aplicativo com sessões persistentes no gateway da Internet para encaminhar solicitações aos servidores proxy reverso.
4. Configure a autenticação com um IdP externo. Você pode configurar o SSO ou SAML instalando um manipulador de autenticação nos servidores proxy reverso. O módulo AuthN gerencia o handshake de autenticação entre o IdP externo e a implantação do Tableau. O Tableau também atuará como um provedor de serviços IdP e autenticará usuários com o IdP.
5. Para autenticar com o Tableau Desktop nesta implantação, seus clientes devem estar executando o Tableau Desktop 2021.2.1 ou posterior.

Exemplo de configuração de camada da Web com o Tableau Server Independent Gateway

O restante deste tópico fornece um procedimento de ponta a ponta que descreve como implementar o nível da Web no exemplo de arquitetura de referência da AWS usando o Tableau Server Independent Gateway. Para obter um exemplo de configuração usando o Apache como proxy reverso, consulte Apêndice - Camada da Web com exemplo de implantação do Apache.

A configuração de exemplo é inclui os seguintes componentes:

• Balanceador de carga de aplicativo AWS
• Tableau Server Independent Gateway
• Módulo de autenticação Mellon
• Okta IdP
• Autenticação SAML

Observação: o exemplo de configuração de nível da Web apresentado nesta seção inclui procedimentos detalhados para implantação de software e serviços de terceiros. Fizemos o melhor esforço para verificar e documentar os procedimentos para habilitar o cenário de nível da Web. No entanto, o software de terceiros pode mudar ou seu cenário pode ser diferente da arquitetura de referência descrita aqui. Consulte a documentação de terceiros para obter detalhes e suporte de configuração confiável.

Os exemplos do Linux em toda esta seção mostram comandos para distribuições do tipo RHEL. Especificamente, os comandos aqui foram desenvolvidos com a distribuição Amazon Linux 2. Se você estiver executando a distribuição do Ubuntu, edite os comandos de forma apropriada.

A implementação do nível da Web neste exemplo segue uma configuração passo a passo e procedimento de verificação. A configuração principal da camada da Web consiste nas etapas a seguir para habilitar HTTP entre o Tableau e a Internet. O Independent Gateway é executado e configurado para proxy reverso/balanceamento de carga por trás do balanceador de carga do aplicativo AWS:

1. Preparação do ambiente
2. Desinstalação do Independent Gateway
3. Configuração do servidor Independent Gateway
4. Configure o balanceador de carga do aplicativo AWS

Depois que a camada da Web for configurada, e a conectividade com o Tableau verificada, configure a autenticação com um provedor externo.

Preparar o ambiente

Conclua as tarefas a seguir antes de implementar o Independent Gateway.

1. Alterações do grupo de segurança da AWS. Configure o grupo de segurança pública para permitir o tráfego de manutenção do Independent Gateway de entrada (TCP 21319) do grupo de segurança privada.

2. Instale a versão 22.1.1 (ou posterior) no cluster do Tableau Server de quatro nós, conforme documentado na Parte 4 - Instalar e configurar o Tableau Server.

3. Configure as duas instâncias de proxy do EC2 no grupo de segurança pública conforme documentado em Configurar computadores host.

Desinstalação do Independent Gateway

O Tableau Server Independent Gateway requer uma licença de Advanced Management.

A implantação do Tableau Server Independent Gateway consiste em instalar e executar o pacote .rpm e, em seguida, configurar o estado inicial. O procedimento incluído neste Guia fornece orientação prescritiva para implantação na arquitetura de referência.

Se sua implantação for diferente da arquitetura de referência, consulte a documentação principal do Tableau Server, Instalar o Tableau Server com Independent Gateway (Linux(O link abre em nova janela)).

Importante: configurar o Independent Gateway pode ser um processo propenso a erros. É muito difícil solucionar problemas de configuração em duas instâncias de servidores de Independent Gateway. Por esse motivo, recomendamos configurar um servidor Independent Gateway de cada vez. Depois de configurar o primeiro servidor e verificar a funcionalidade, você deve configurar o segundo servidor Independent Gateway.

Embora você configure cada servidor de Independent Gateway separadamente, execute este procedimento de instalação em ambas as instâncias do EC2 que você instalou no grupo de segurança pública: 

1. Execute a atualização para aplicar as correções mais recentes ao sistema operacional Linux:

   sudo yum update

2. Se o Apache estiver instalado, remova-o:

    sudo yum remove httpd

3. Copie o pacote de instalação da versão 2022.1.1 (ou posterior) do Independent Gateway página Downloads do Tableau(O link abre em nova janela) para o computador host que executará o Tableau Server.

   Por exemplo, em um computador executando o sistema operacional semelhante ao Linux RHEL, execute:

   wget https://downloads.tableau.com/esdalt/2022<version>/tableau-server-tsig-<version>.x86_64.rpm

4. Execute o programa de Instalação. Por exemplo, em um sistema operacional semelhante ao Linux RHEL, execute:

   sudo yum install <tableau-tsig-version>.x86_64.rpm

5. Mude para o diretório /opt/tableau/tableau_tsig/packages/scripts.<version_code>/ e execute o script initialize-tsig localizado lá: Além do sinalizador --accepteula, você deve incluir o intervalo de IP das sub-redes em que a implantação do Tableau Server está sendo executada. Use a opção -c para especificar o intervalo de IP. O exemplo abaixo mostra o comando com as sub-redes da AWS de exemplo especificadas:

   sudo ./initialize-tsig --accepteula -c "ip 10.0.30.0/24 10.0.31.0/24"

6. Após a conclusão da inicialização, abra o arquivo tsighk-auth.conf e copie o segredo de autenticação no arquivo. Você precisará enviar este código para cada instância de Independent Gateway como parte da configuração de back-end do Tableau Server:

   sudo less /var/opt/tableau/tableau_tsig/config/tsighk-auth.conf

7. Depois de executar as etapas anteriores nas duas instâncias do Independent Gateway, prepare o arquivo de configuração tsig.json. O arquivo de configuração consiste em uma matriz de "independentGateways". A matriz contém objetos de configuração que definem detalhes de conexão para uma instância de Independent Gateway.

   Copie o seguinte JSON e personalize-o de acordo com seu ambiente de implementação. O exemplo aqui mostra um arquivo para uma arquitetura de referência da AWS de exemplo.

   O arquivo JSON de exemplo abaixo inclui apenas informações de conexão para um Independent Gateway. Mais tarde no processo, você incluirá as informações de conexão para o segundo servidor Independent Gateway.

   Salve o arquivo comotsig.json para os procedimentos a seguir.

   {
   "independentGateways": [
    {
    	"id": "ip-10-0-1-169.ec2.internal",
    	"host": "ip-10-0-1-169.ec2.internal",
    	"port": "21319",
    	"protocol" : "http",
    	"authsecret": "13660-27118-29070-25482-9518-22453"
    	}]
    }

   • "id"- O nome DNS privado da instância do AWS EC2 que executa o Independent Gateway.
   • "host"- igual a "id".
   • "port"- A porta de limpeza, por padrão, "21319".
   • "protocol"- O protocolo para o tráfego do cliente. Deixe isso como http para a configuração inicial.
   • "authsecret"- O segredo que você copiou na etapa anterior.

Independent Gateway: conexão direta versus relé

Antes de continuar, você deve decidir qual esquema de conexão configurar em sua implantação: conexão direta ou de relé. Cada opção é brevemente descrita aqui, juntamente com os pontos de dados de decisão relevantes.

Conexão de relé: você pode configurar o Independent Gateway para retransmitir a comunicação do cliente por uma única porta para o processo de gateway no Tableau Server. Essa comunicação é chamada conexão de relé:

• O processo de relé resulta em um salto extra do Independent Gateway para o processo back-end do Gateway do Tableau Server. O salto extra degrada o desempenho em comparação com a configuração de conexão direta.
• TLS é compatível com o modo de relé. Toda a comunicação no modo de relé é restrita a um único protocolo (HTTP ou HTTPS) e, portanto, pode ser criptografada e autenticada com TLS.

Conexão direta: o Independent Gateway pode se comunicar diretamente com os processos back-end do Tableau Server em várias portas. Essa comunicação é chamada conexão direta.

• Como a conexão é direta com o Tableau Server de back-end, o desempenho do cliente é significativamente aprimorado em comparação com a opção de conexão de relé.
• Requer a abertura de mais de 16 portas de sub-redes Públicas para Privadas para comunicação direta do processo do Independent Gateway para computadores do Tableau Server.
• O TLS ainda não é compatível com os processos do Independent Gateway para o Tableau Server.

Verificação: configuração da topologia de base

Você deve conseguir acessar a página de administração do Tableau Server navegando para http://<gateway-public-IP-address>.

Se a página de entrada do Tableau Server não carregar ou se o Tableau Server não iniciar, siga estas etapas de solução de problemas:

Rede: 

• Verifique a conectividade entre a implantação do Tableau e a instância do Independent Gateway executando o seguinte comando wget do Tableau Server Nó1: wget http://<endereço IP interno do Independent Gateway> :21319, por exemplo:

   wget http://ip-10-0-1-38:21319

  Se a conexão for recusada ou falhar, verifique se o grupo de segurança pública está configurado para permitir o tráfego de manutenção do Independent Gateway (TCP 21319) do grupo de segurança privada.

  Se o grupo de segurança estiver configurado corretamente, verifique se você especificou os endereços IP ou intervalos de IP corretos durante a inicialização do Independent Gateway. Você pode visualizar e alterar esta configuração no arquivo environment.bash localizado em /etc/opt/tableau/tableau_tsig/environment.bash. Se você fizer uma alteração nesse arquivo, reinicie o serviço tsig-http conforme descrito abaixo.

No host Proxy 1:

1. Substitua o arquivo httpd.conf pelo arquivo stub do Independent Gateway:

   cp /var/opt/tableau/tableau_tsig/config/httpd.conf.stub /var/opt/tableau/tableau_tsig/config/httpd.conf

2. Reinicie o tsig-httpd como uma primeira etapa de solução de problemas:

   sudo su - tableau-tsig
   systemctl --user restart tsig-httpd
   exit

Nó 1 do Tableau

• Verifique novamente o arquivo tsig.json. Se você encontrar erros, corrija-os e execute tsm topology external-services gateway update -c tsig.json .
• Se estiver executando uma conexão direta, verifique as portas TCP listadas em proxy_targets.csv são configurados como portas de entrada de grupos de segurança Público para Privado.

Configure o balanceador de carga do aplicativo AWS

Atualize DNS com URL pública do Tableau

Use o nome da zona DNS de seu domínio da descrição do Balanceador de carga da AWS para criar um valor CNAME em seu DNS. O tráfego para a sua URL (tableau.example.com) deve ser enviado ao nome DNS público da AWS.

Verifique a conectividade

Depois que suas atualizações de DNS forem concluídas, você deverá conseguir navegar para a página de entrada do Tableau Server inserindo a URL pública, por exemplo,https://tableau.example.com.

Exemplo de configuração de autenticação: SAML com IdP externo

O exemplo a seguir descreve como instalar e configurar o SAML com Okta IdP e módulo de autenticação Mellon para uma implantação do Tableau em execução na arquitetura de referência da AWS.

Este exemplo retoma a seção anterior e supõe que você esteja configurando um Independent Gateway por vez.

O exemplo descreve como configurar o Tableau Server e o Independent Gateway por HTTP. O Okta enviará a solicitação ao balanceador de carga AWS por HTTPS, mas todo o tráfego interno se deslocará por HTTP. Ao configurar para este cenário, esteja ciente dos protocolos HTTP vs HTTPS ao configurar cadeias de caractere de URL.

Este exemplo usa o Mellon como um módulo de provedor de serviços de pré-autenticação nos servidores do Independent Gateway. Essa configuração garante que apenas o tráfego autenticado se conecte ao Tableau Server, que também atua como um provedor de serviços com o Okta IdP. Portanto, você deve configurar dois aplicativos IdP: um para o provedor de serviços Mellon e um para o provedor de serviços Tableau.

Instale o Mellon para pré-autenticação

Este exemplo usa mod_auth_mellon, um módulo de código aberto popular. Algumas distribuições Linux empacotam versões mod_auth_mellon obsoletas de um repositório mais antigo. Essas versões obsoletas podem conter vulnerabilidades de segurança desconhecidas ou problemas funcionais. Se você optar por usar mod_auth_mellon, verifique se está usando uma versão atual.

O módulo mod_auth_mellon é um software de terceiros. Fizemos o melhor esforço para verificar e documentar os procedimentos para habilitar este cenário. No entanto, o software de terceiros pode mudar ou seu cenário pode ser diferente da arquitetura de referência descrita aqui. Consulte a documentação de terceiros para obter detalhes e suporte de configuração confiável.

1. Nas instâncias do EC2 ativo que estão executando o Independent Gateway, instale uma versão atual do módulo de autenticação Mellon.

2. Crie o diretório /etc/mellon:

   sudo mkdir /etc/mellon

Configure o Mellon como módulo de pré-autenticação

Execute este procedimento na primeira instância do Independent Gateway.

Você deve ter uma cópia do arquivo pre-auth_idp_metadata.xml que você criou a partir da configuração do Okta.

1. Altere o diretório:

   cd /etc/mellon

2. Crie os metadados do provedor de serviços. Execute o script mellon_create_metadata.sh. Você deve incluir a ID da entidade e a URL de retorno para sua organização no comando.

   A URL de retorno é conhecida como URL de logon único no Okta. O elemento final do caminho na URL de retorno é conhecido como oMellonEndpointPath no arquivo de configuração mellon.conf posteriormente neste procedimento. Neste exemplo, especificamos sso como o caminho do terminal.

   Por exemplo:

   sudo /usr/libexec/mod_auth_mellon/mellon_create_metadata.sh https://tableau.example.com "https://tableau.example.com/sso"

   O script retorna o certificado do provedor de serviços, a chave e os arquivos de metadados.

3. Renomeie os arquivos do provedor de serviços no diretório mellon para facilitar a leitura. Faremos referência a esses arquivos pelos seguintes nomes na documentação:

   sudo mv *.key mellon.key
   sudo mv *.cert mellon.cert
   sudo mv *.xml sp_metadata.xml
   

4. Copie o arquivo pre-auth_idp_metadata.xml para o mesmo diretório.

5. Altere a propriedade e as permissões em todos os arquivos no diretório /etc/mellon:

   sudo chown tableau-tsig mellon.key
   sudo chown tableau-tsig mellon.cert
   sudo chown tableau-tsig sp_metadata.xml
   sudo chown tableau-tsig pre-auth_idp_metadata.xml 
   sudo chmod +r * mellon.key
   sudo chmod +r * mellon.cert
   sudo chmod +r * sp_metadata.xml
   sudo chmod +r * pre-auth_idp_metadata.xml 

6. Crie o diretório /etc/mellon/conf.d:

   sudo mkdir /etc/mellon/conf.d

7. Crie o arquivo global.conf no diretório /etc/mellon/conf.d.

   Copie o conteúdo do arquivo conforme mostrado abaixo, mas atualize MellonCookieDomain com seu nome de domínio raiz. Por exemplo, se o nome de domínio do Tableau for tableau.example.com, digitar example.com para o domínio raiz.

   <Location "/">
   AuthType Mellon
   MellonEnable auth
   Require valid-user
   MellonCookieDomain <root domain>
   MellonSPPrivateKeyFile /etc/mellon/mellon.key
   MellonSPCertFile /etc/mellon/mellon.cert
   MellonSPMetadataFile /etc/mellon/sp_metadata.xml
   MellonIdPMetadataFile /etc/mellon/pre-auth_idp_metadata.xml
   MellonEndpointPath /sso
   </Location>
   
   <Location "/tsighk">
   MellonEnable Off
   </Location>

8. Crie o arquivo mellonmod.conf no diretório /etc/mellon/conf.d.

   Este arquivo contém uma única diretiva que especifica a localização do arquivo mod_auth_mellon.so. O local no exemplo aqui é o local padrão do arquivo. Verifique se o arquivo está neste local ou altere o caminho nesta diretiva para corresponder ao local real de mod_auth_mellon.so:

   LoadModule auth_mellon_module /usr/lib64/httpd/modules/mod_auth_mellon.so

Crie o aplicativo Tableau Server no Okta

Definir a configuração do módulo de autenticação no Tableau Server

Execute os seguintes comandos no Nó 1 do Tableau Server. Esses comandos especificam os locais dos arquivos de configuração do Mellon no computador remoto do Independent Gateway. Verifique novamente se os caminhos de arquivo especificados nesses comandos são mapeados para os caminhos e o local do arquivo no computador remoto do Independent Gateway.

tsm configuration set -k gateway.tsig.authn_module_block -v "/etc/mellon/conf.d/mellonmod.conf" --force-keys
tsm configuration set -k gateway.tsig.authn_global_block -v "/etc/mellon/conf.d/global.conf" --force-keys

Para reduzir o tempo de inatividade, não aplique as alterações até ativar o SAML, conforme descrito na próxima seção.

Habilite SAML no Tableau Server para IdP

Reiniciar o serviço tsig-httpd

À medida que a implantação do Tableau Server aplica as alterações, entre novamente no computador do Tableau Server Independent Gateway e execute os seguintes comandos para reiniciar o serviço tsig-httpd:

sudo su - tableau-tsig
systemctl --user restart tsig-httpd
exit

Validar a funcionalidade SAML

Para validar a funcionalidade SAML de ponta a ponta, entre no Tableau Server com a URL pública (por exemplo, https://tableau.example.com) com a conta de administrador do Tableau que você criou no início deste procedimento.

Se o TSM não iniciar ("erro de gateway") ou se você receber erros de navegador ao tentar se conectar, consulte Solucionar problemas o Tableau Server Independent Gateway.

Configurar o módulo de autenticação na segunda instância do Independent Gateway

Depois de configurar com êxito a primeira instância do Independent Gateway, implante a segunda instância. O exemplo aqui é o processo final para instalar o cenário AWS/Mellon/Okta descrito neste tópico. O procedimento pressupõe que você já instalou o Independent Gateway na segunda instância conforme descrito neste tópico anteriormente (Instalar o Independent Gateway).

O processo de implantação do segundo Independent Gateway requer as seguintes etapas:

1. Na segunda instância do Independent Gateway: instale o módulo de autenticação Mellon.

   Não configure o módulo de autenticação Mellon conforme descrito anteriormente neste tópico. Em vez disso, você deve clonar a configuração conforme descrito nas etapas subsequentes.

2. Na (primeira) instância configurada do Independent Gateway:

   Faça uma cópia tar da configuração Mellon existente. O backup tar preservará toda a hierarquia de diretórios e permissões. Execute os seguintes comandos:

   cd /etc

   sudo tar -cvf mellon.tar mellon

   Copie mellon.tar para a segunda instância do Independent Gateway.

3. Na segunda instância do Independent Gateway:

   Extraia ("descompacte") o arquivo tar para a segunda instância no diretório /etc. Execute os seguintes comandos:

   cd /etc

   sudo tar -xvf mellon.tar

4. No nó 1 da implantação do Tableau Server: atualize o arquivo de conexão (tsig.json ) com as informações de conexão do segundo Independent Gateway. Você precisará recuperar a chave de autenticação conforme descrito neste tópico anteriormente (Instalar Independent Gateway).

   Um arquivo de conexão de exemplo (tsig.json ) é mostrado aqui:

   {
   "independentGateways": [
    {
      "id": "ip-10-0-1-169.ec2.internal",
      "host": "ip-10-0-1-169.ec2.internal",
      "port": "21319",
      "protocol" : "http",
      "authsecret": "13660-27118-29070-25482-9518-22453"
    },
    {
      "id": "ip-10-0-2-230.ec2.internal",
      "host": "ip-10-0-2-230.ec2.internal",
      "port": "21319",
      "protocol" : "http",
      "authsecret": "9055-27834-16487-27455-30409-7292"
    }]
    }

5. No nó 1 da implantação do Tableau Server: execute os seguintes comandos para atualizar a configuração:

   tsm stop

   tsm topology external-services gateway update -c tsig.json
   

   tsm start

6. Nas duas instâncias do Independent Gateway: conforme o Tableau Server está iniciando, reinicie o processo tsig-httpd:

   sudo su - tableau-tsig

   systemctl --user restart tsig-httpd

   exit

7. Em AWS EC2>Grupos de destino : atualize o grupo de destino para incluir a instância do EC2 que executa a segunda instância do Independent Gateway.

   Selecione o grupo de destinos que você acabou de criar e clique na guia Destinos: 

   • Clique em Editar.
   • Selecione a instância do EC2 do segundo computador do Independent Gateway e clique em Adicionar ao registrado. Clique em Salvar.