Guia de Implantação do Tableau Server Enterprise

Configurar SSL/TLS do balanceador de carga para o Tableau Server

Algumas organizações exigem um canal de criptografia de ponta a ponta do cliente para o serviço de back-end. A arquitetura de referência padrão, conforme descrito até este ponto, especifica SSL do cliente para o balanceador de carga em execução na camada da Web de sua organização.

Esta seção descreve como configurar o SSL/TLS para o Tableau Server e o Independent Gateway no exemplo de arquitetura de referência da AWS. Para obter um exemplo de configuração descrevendo como configurar SSL/TLS no Apache na arquitetura de referência da AWS, consulte Exemplo: configurar SSL/TLS na arquitetura de referência da AWS.

No momento, não há suporte para TLS nos processos de back-end do Tableau Server executados no intervalo 8000-9000. Para habilitar o TLS, você deve configurar o Independent Gateway com uma conexão de retransmissão para o Tableau Server.

Este procedimento descreve como habilitar e configurar o TLS no Independent Gateway para o Tableau Server e do Tableau Server para o Independent Gateway. O procedimento criptografa o tráfego de retransmissão em HTTPS/443 e o tráfego de manutenção em HTTPS/21319.

Os procedimentos do Linux em todo este exemplo mostram comandos para distribuições do tipo RHEL. Especificamente, os comandos aqui foram desenvolvidos com a distribuição Amazon Linux 2. Se você estiver executando a distribuição do Ubuntu, edite os comandos de forma apropriada.

A orientação aqui é prescritiva para a arquitetura de referência de exemplo específica da AWS, conforme apresentado neste Guia. Portanto, as configurações opcionais não estão incluídas. Para obter a documentação de referência completa, consulte Configurar TLS no Independent Gateway (Linux(O link abre em nova janela)).

Antes de configurar o TLS

Execute as configurações de TLS fora do horário comercial. A configuração requer pelo menos uma reinicialização do Tableau Server. Se você estiver executando uma implantação completa de arquitetura de referência de quatro nós, a reinicialização pode demorar um pouco.

• Verifique se os clientes podem se conectar ao Tableau Server por HTTP. A configuração de TLS com Independent Gateway é um processo de várias etapas e pode exigir solução de problemas. Portanto, recomendamos começar com uma implantação totalmente operacional do Tableau Server antes de configurar o TLS.

• Colete certificados TLS/SSL, chaves e ativos relacionados. Você precisará de certificados SSL para os Independent Gateways e para o Tableau Server. Para simplificar o gerenciamento e a implantação de certificados e como prática recomendada de segurança, recomendamos o uso de certificados gerados por uma autoridade de certificação (CA) de terceiros confiável. Como alternativa, você pode gerar certificados autoassinados ou usar certificados de uma PKI para TLS.

  A configuração de exemplo neste tópico usa os seguintes nomes de ativos como ilustração:

  • tsig-ssl.crt: o certificado TLS/SSL para Independent Gateway.
  • tsig-ssl.key: a chave privada paratsig-ssl.crt no Independent Gateway.
  • ts-ssl.crt: o certificado TLS/SSL para o Tableau Server.
  • ts-ssl.key: a chave privada paratsig-ssl.crt no Tableau Server.
  • tableau-server-CA.pem: o certificado raiz da CA que gera os certificados para os computadores do Tableau Server. Esse certificado geralmente não é necessário se você estiver usando certificados de terceiros confiáveis.
  • rootTSIG-CACert.pem: o certificado raiz da CA que gera os certificados para os computadores do Independent Gateway. Esse certificado geralmente não é necessário se você estiver usando certificados de terceiros confiáveis.
  • Existem outros certificados e ativos de arquivos de chave necessários para SAML que são detalhados na Parte 5 deste Guia.
  • Se sua implementação exigir o uso de um arquivo de cadeia de certificados, consulte o artigo da Base de Conhecimento, Configurar TLS no Independent Gateway ao usar um certificado que tenha uma cadeia de certificados(O link abre em nova janela) .

• Verifique se você tem acesso ao IdP. Se você estiver usando um IdP para autenticação, provavelmente precisará fazer alterações nos URLs de destinatário e destino no IdP depois de configurar o SSL/TLS.

Configurar computadores de Independent Gateway para TLS

A configuração do TLS pode ser um processo propenso a erros. Como a solução de problemas em duas instâncias do Independent Gateway pode ser demorada, recomendamos habilitar e configurar o TLS na implantação do EDG com apenas um Independent Gateway. Depois de validar que o TLS funciona na implantação, configure o segundo computador do Independent Gateway.

Etapa 1: distribuir certificados e chaves para o computador Independent Gateway

Você pode distribuir os ativos para qualquer diretório arbitrário, desde que o usuário tsig-httpd tenha acesso de leitura aos arquivos. Os caminhos para esses arquivos são referenciados em outros procedimentos. Usaremos os caminhos de exemplo em/etc/ssl, como mostrado abaixo, ao longo do tópico.

1. Crie um diretório para a chave privada:

   sudo mkdir -p /etc/ssl/private

2. Copie o certificado e os arquivos key para os seguintes caminhos /etc/ssl: Por exemplo,

   sudo cp tsig-ssl.crt /etc/ssl/certs/

   sudo cp tsig-ssl.key /etc/ssl/private/

3. (Opcional) Se você estiver usando um certificado autoassinado ou PKI para SSL/TLS no Tableau Server, também deverá copiar o arquivo de certificado raiz da CA para o computador do Independent Gateway. Por exemplo,

   sudo cp tableau-server-CA.pem /etc/ssl/certs/

Etapa 2: atualizar as variáveis ambientais para TLS

Você deve atualizar as variáveis ambientais de porta e protocolo para a configuração do Independent Gateway.

Altere esses valores atualizando o arquivo,/etc/opt/tableau/tableau_tsig/environment.bash, do seguinte modo :

TSIG_HK_PROTOCOL="https"
TSIG_PORT="443"
TSIG_PROTOCOL="https"

Etapa 3: atualizar o arquivo de configuração de stub para o protocolo HK

Edite manualmente o arquivo de configuração stub (/var/opt/tableau/tableau_tsig/config/httpd.conf.stub) para definir as diretivas httpd Apache relacionadas ao TLS para o protocolo de manutenção (HK).

O arquivo de configuração stub inclui um bloco de diretivas relacionadas a TLS que são comentadas com um#TLS# marcador. Remova os marcadores das diretivas conforme mostrado no exemplo abaixo. Observe que o exemplo mostra o uso do certificado CA raiz para o certificado SSL usado no Tableau Server com a opção SSLCACertificateFile.

#TLS# SSLPassPhraseDialog exec:/path/to/file
<VirtualHost *:${TSIG_HK_PORT}>
SSLEngine on
#TLS# SSLHonorCipherOrder on
#TLS# SSLCompression off
SSLCertificateFile /etc/ssl/certs/tsig-ssl.crt
SSLCertificateKeyFile /etc/ssl/private/tsig-ssl.key
SSLCACertificateFile /etc/ssl/certs/tableau-server-CA.pem
#TLS# SSLCARevocationFile /path/to/file
</VirtualHost>

Essas alterações serão perdidas se você reinstalar o Independent Gateway. Recomendamos fazer uma cópia de segurança.

Etapa 4: copie o arquivo stub e reinicie o serviço

1. Copie o arquivo que você atualizou na última etapa, para atualizar o httpd.conf com as alterações:

   cp /var/opt/tableau/tableau_tsig/config/httpd.conf.stub /var/opt/tableau/tableau_tsig/config/httpd.conf

2. Reinicie o serviço do Independent Gateway:

   sudo su - tableau-tsig
   systemctl --user restart tsig-httpd
   exit

Após a reinicialização, o Independent Gateway ficará inoperante até que você execute o próximo conjunto de etapas no Tableau Server. Depois de concluir as etapas no Tableau Server, o Independent Gateway captará as alterações e ficará online.

Configurar o nó 1 do Tableau Server para TLS

Execute estas etapas no Nó 1 em sua implantação do Tableau Server:

Etapa 1: copie certificados e chaves e interrompa o TSM

1. Verifique se você tem os certificados e chaves "SSL externo" do Tableau Server copiados para o Nó 1.

2. Para minimizar o tempo de inatividade, recomendamos interromper o TSM, executar as etapas a seguir e iniciar o TSM após a aplicação das alterações:

   tsm stop

Etapa 2: definir ativos de certificado e habilitar a configuração do Independent Gateway

1. Especifique o local do certificado e dos arquivos de chave para o Independent Gateway. Esses caminhos fazem referência ao local nos computadores do Independent Gateway. Observe que este exemplo assume que o mesmo certificado e par de chaves são usados para proteger HTTPS e tráfego de manutenção:

   tsm configuration set -k gateway.tsig.ssl.cert.file_name -v /etc/ssl/certs/tsig-ssl.crt --force-keys 
   tsm configuration set -k gateway.tsig.ssl.key.file_name -v /etc/ssl/private/tsig-ssl.key --force-keys	

2. Habilite os protocolos TLS para HTTPS e HK para Independent Gateway:

   tsm configuration set -k gateway.tsig.ssl.enabled -v true --force-keys
   tsm configuration set -k gateway.tsig.hk.ssl.enabled -v true --force-keys

3. (Opcional) Se você estiver usando um certificado autoassinado ou PKI para SSL/TLS no Independent Gateway, deverá carregar o arquivo de certificado raiz da CA. O arquivo de certificado raiz CA é o certificado raiz que foi usado para gerar os certificados para os computadores do Independent Gateway. Por exemplo,

   tsm security custom-cert add -c rootTSIG-CACert.pem

4. (Opcional) Se você estiver usando um certificado autoassinado ou PKI para SSL/TLS no Tableau Server, também deverá copiar o arquivo de certificado raiz da CA para o diretório /etc/ssl/certs do Independent Gateway. O arquivo de certificado raiz CA é o certificado raiz usado para gerar os certificados para os computadores do Tableau Server. Depois de copiar o certificado para o Independent Gateway, você deve especificar o local do certificado no Nó 1 com o seguinte comando tsm. Por exemplo,

   tsm configuration set -k gateway.tsig.ssl.proxy.gateway_relay_cluster.cacertificatefile -v /etc/ssl/certs/tableau-server-CA.pem --force-keys

5. (Opcional: apenas para fins de teste) Se você estiver usando o compartilhamento de certificados autoassinados ou PKI entre computadores e, portanto, os nomes das entidades nos certificados não corresponderem aos nomes dos computadores, será necessário desabilitar a verificação de certificados. 

   tsm configuration set -k gateway.tsig.ssl.proxy.verify -v optional_no_ca --force-keys

Etapa 3: habilitar "SSL externo" para o Tableau Server e aplicar as alterações

1. Habilite e configure "SSL externo" no Tableau Server:

   tsm security external-ssl enable --cert-file ts-ssl.crt --key-file ts-ssl.key

2. Aplique as alterações.

   tsm pending-changes apply

Etapa 4: atualize o arquivo JSON de configuração do gateway e inicie o tsm

1. Atualize o arquivo de configuração do Independent Gateway (por exemplo,tsig.json ) no lado do Tableau Server para especificar ohttps protocolo para os objetos do Independent Gateway:

   "protocol" : "https",

2. Remova (ou comente) as informações de conexão para a segunda instância do Independent Gateway. Certifique-se de verificar o JSON em um editor externo antes de salvá-lo.

   Depois de configurar e validar o TLS para a instância única do Independent Gateway, você atualizará esse arquivo JSON com as informações de conexão para a segunda instância do Independent Gateway.

3. Execute o comando a seguir para atualizar a configuração do Independent Gateway:

   tsm topology external-services gateway update -c tsig.json

4. Inicie o TSM.

   tsm start

5. Enquanto o TSM está iniciando, faça login na instância do Independent Gateway e reinicie o serviço tsig-httpd:

   sudo su - tableau-tsig

   systemctl --user restart tsig-httpd

   exit

Atualizar URLs do módulo de autenticação IdP para HTTPS

Se você configurou um provedor de identidade externo para o Tableau, provavelmente precisará atualizar as URLs de retorno no painel administrativo do IdP.

Por exemplo, se você estiver usando um aplicativo de pré-autenticação Okta, precisará atualizar o aplicativo para usar o protocolo HTTPS para a URL do destinatário e a URL de destino.

Configurar o balanceador de carga AWS para HTTPS

Se você estiver implantando com o balanceador de carga AWS conforme documentado neste guia, reconfigure o balanceador de carga AWS para enviar tráfego HTTPS para os computadores executando Independent Gateway:

1. Exclua o grupo de destino HTTP existente:

   Em Grupos de destino, selecione o grupo de destino HTTP que foi configurado para o balanceador de carga, clique em Ações e, em seguida, clique em Excluir.

2. Crie o grupo de destino HTTPS:

   Grupos de destino > Criar grupo de destino

   • Selecione "Instâncias"
   • Insira um nome para o grupo de destino, por exemplo TG-internal-HTTPS
   • Selecione o VPC
   • Protocolo: HTTPS 443
   • Em Verificações de integridade > Configurações avançadas de verificações de integridade > Códigos de sucesso , anexe a lista de códigos para ler: 200,303.
   • Clique em Criar.

3. Selecione o grupo de destinos que você acabou de criar e clique na guia Destinos: 

   • Clique em Editar
   • Selecione a instância EC2 que executa o Tableau Server Independent Gateway que você configurou e clique em Adicionar para registrada.
   • Clique em Salvar.

4. Depois que o grupo de destino é criado, você deve habilitar a aderência:

   • Abra a página Balanceador de carga da AWS (EC2> Balanceadores de carga> Grupos de destinos), selecione a instância do balanceador de carga que você acabou de configurar. No menu Ação, selecione Editar atributos.
   • Na página Editar atributos, selecione Aderência, especifique uma duração de 1 day e, em seguida, Salvar alterações.

5. No balanceador de carga, atualize as regras do ouvinte. Selecione o balanceador de carga que você configurou para esta implantação e clique na guia Ouvintes

   • Para HTTP: 80, clique em Exibir/editar regras. Na página Regras, clique no ícone de edição (uma vez no topo da página e depois novamente na regra) para editar a regra. Exclua a regra THEN existente e substitua-a clicando em Adicionar ação > Redirecionar para.... Na configuração THEN resultante, especifique HTTPS e a porta 443 e deixe as outras opções com as configurações padrão. Salve a configuração e clique em Atualizar.
   • Para HTTPS:443, clique em Exibir/editar regras. Na página Regras, clique no ícone de edição (uma vez no topo da página e depois novamente na regra) para editar a regra. Exclua a regra THEN existente e substitua-a clicando em Adicionar ação > Encaminhar para.... Especifique o grupo de destino para o grupo HTTPS que você acabou de criar. Em Aderência em nível de grupo, ative a aderência e defina a duração para 1 dia. Salve a configuração e clique em Atualizar.

6. No balanceador de carga, atualize o tempo limite de inatividade para 400 segundos. Selecione o balanceador de carga que você configurou para esta implantação e clique em Ações > Editar atributos. Defina o Tempo limite de inatividade para 400 segundos e, em seguida, clique em Salvar.

Validar TLS

Para validar a funcionalidade TLS, entre no Tableau Server com a URL pública (por exemplo, https://tableau.example.com) com a conta de administrador do Tableau que você criou no início deste procedimento.

Se o TSM não estiver iniciando ou você receber outros erros, consulte Solucionar problemas o Tableau Server Independent Gateway.

Configurar a segunda instância do Independent Gateway para SSL

Depois de configurar com êxito a primeira instância do Independent Gateway, implante a segunda instância.

O processo de implantação do segundo Independent Gateway requer as seguintes etapas:

1. Na (primeira) instância configurada do Independent Gateway: copie os seguintes arquivos para os locais correspondentes na segunda instância do Independent Gateway:

   • /etc/ssl/certs/tsig-ssl.crt
   • /etc/ssl/private/tsig-ssl.key (Você precisará criar o diretório private na segunda instância).
   • /var/opt/tableau/tableau_tsig/config/httpd.conf.stub
   • /etc/opt/tableau/tableau_tsig/environment.bash

2. No nó 1 da implantação do Tableau Server: atualize o arquivo de conexão (tsig.json ) com as informações de conexão do segundo Independent Gateway.

   Um arquivo de conexão de exemplo (tsig.json ) é mostrado aqui:

   {
   "independentGateways": [
    {
      "id": "ip-10-0-1-169.ec2.internal",
      "host": "ip-10-0-1-169.ec2.internal",
      "port": "21319",
      "protocol" : "https",
      "authsecret": "13660-27118-29070-25482-9518-22453"
    },
    {
      "id": "ip-10-0-2-230.ec2.internal",
      "host": "ip-10-0-2-230.ec2.internal",
      "port": "21319",
      "protocol" : "https",
      "authsecret": "9055-27834-16487-27455-30409-7292"
    }]
    }

3. No nó 1 da implantação do Tableau Server: execute os seguintes comandos para atualizar a configuração:

   tsm stop

   tsm topology external-services gateway update -c tsig.json
   

   tsm start

4. Nas duas instâncias do Independent Gateway: conforme o Tableau Server está iniciando, reinicie o processo tsig-httpd em ambas as instâncias do Independent Gateway:

   sudo su - tableau-tsig

   systemctl --user restart tsig-httpd

   exit

5. Em AWS EC2>Grupos de destino : atualize o grupo de destino para incluir a instância do EC2 que executa a segunda instância do Independent Gateway.

   Selecione o grupo de destinos que você acabou de criar e clique na guia Destinos: 

   • Clique em Editar.
   • Selecione a instância do EC2 do segundo computador do Independent Gateway e clique em Adicionar ao registrado. Clique em Salvar.

Configurar SSL para Postgres

Opcionalmente, você pode configurar SSL (TLS) para a conexão Postgres para a conexão do repositório externo no Tableau Server.

Para simplificar o gerenciamento e a implantação de certificados e como prática recomendada de segurança, recomendamos o uso de certificados gerados por uma autoridade de certificação (CA) de terceiros confiável. Como alternativa, você pode gerar certificados autoassinados ou usar certificados de uma PKI para TLS.

Este procedimento descreve como usar o OpenSSL para gerar um certificado autoassinado no host Postgres em uma distribuição Linux como RHEL na arquitetura de referência de exemplo da AWS.

Depois de gerar e assinar o certificado SSL, você deve copiar o certificado CA para o host do Tableau.

No host que executa o Postgres:

1. Gere a chave de autoridade de certificação raiz (CA) de assinatura:

   openssl genrsa -out pgsql-rootCAKey.pem 2048

2. Crie o certificado CA raiz:

   openssl req -x509 -sha256 -new -nodes -key pgsql-rootCAKey.pem -days 3650 -out pgsql-rootCACert.pem

   Você será solicitado a inserir valores para os campos do certificado. Por exemplo:

   Country Name (2 letter code) [XX]:US
   State or Province Name (full name) []:Washington
   Locality Name (eg, city) [Default City]:Seattle
   Organization Name (eg, company) [Default Company Ltd]:Tableau
   Organizational Unit Name (eg, section) []:Operations
   Common Name (eg, Postgres server's hostname) []:ip-10-0-1-189.us-west-1.compute.internal
   Email Address []:example@tableau.com				

3. Crie o certificado e a chave relacionada (server.csr eserver.key no exemplo abaixo) para o computador Postgres. O nome do assunto do certificado deve corresponder ao nome DNS privado EC2 do host Postgres. O nome do assunto é definido com a opção -subj e o formato"/CN=<private DNS name>", por exemplo:

   openssl req -new -nodes -text -out server.csr -keyout server.key -subj "/CN=ip-10-0-1-189.us-west-1.compute.internal"

4. Assine o novo certificado com o certificado CA que você criou na etapa 2. O comando a seguir também produz o certificado no formato crt:

   openssl x509 -req -in server.csr -days 3650 -CA pgsql-rootCACert.pem -CAkey pgsql-rootCAKey.pem -CAcreateserial -out server.crt

5. Copie os arquivos crt e de chave para o Postgres/var/lib/pgsql/13/data/ caminho:

   sudo cp server.crt /var/lib/pgsql/13/data/

   sudo cp server.key /var/lib/pgsql/13/data/

6. Mudar para usuário raiz:

   sudo su

7. Defina permissões nos arquivos cer e key. Execute os seguintes comandos:

   cd /var/lib/pgsql/13/data
   chown postgres.postgres server.crt
   chown postgres.postgres server.key
   chmod 0600 server.crt
   chmod 0600 server.key

8. Atualize o arquivo de configuração pg_haba,/var/lib/pgsql/13/data/pg_hba.conf para especificar a confiança md5:

   Altere as instruções de conexão existentes de

   host all all 10.0.30.0/24 password e

   host all all 10.0.31.0/24 password

   para

   host all all 10.0.30.0/24 md5 e

   host all all 10.0.31.0/24 md5.

9. Atualize o arquivo postgresql,/var/lib/pgsql/13/data/postgresql.conf, adicionando esta linha:

   ssl = on

10. Saia do modo de usuário raiz:

    exit

11. Reinicie o Postgres:

    sudo systemctl restart postgresql-13

Opcional: habilite a validação de confiança do certificado no Tableau Server para Postgres SSL

Se você seguiu o procedimento de instalação na Parte 4 - Instalar e configurar o Tableau Server, o Tableau Server é configurado com SSL opcional para a conexão Postgres. Isso significa que configurar o SSL no Postgres (como descrito acima) resultará em uma conexão criptografada.

Se você deseja exigir a validação de confiança do certificado para a conexão, execute o seguinte comando no Tableau Server para reconfigurar a conexão do host Postgres:

tsm topology external-services repository replace-host -f <filename>.json -c CACert.pem

Em que <filename>.json é o arquivo de conexão descrito em Configurar Postgres externo. E CACert.pem é o arquivo de certificado CA para o certificado SSL/TLS usado pelo Postgres.