Driftsättningsguide för Tableau Server för företag

Konfigurera SSL/TLS från belastningsutjämnare till Tableau Server

Vissa organisationer kräver en komplett (”end-to-end”) krypteringskanal från klient till backend-tjänst. Standardreferensarkitekturen som beskrivs under denna punkt specificerar SSL från klienten till den belastningsutjämnare som körs på webbnivån i din organisation.

Det här avsnittet beskriver hur du konfigurerar SSL/TLS för Tableau Server och den oberoende gatewayen i exemplet på AWS-referensarkitektur. Ett konfigurationsexempel som beskriver hur man konfigurerar SSL/TLS på Apache i AWS-referensarkitektur finns i Exempel: Konfigurera SSL/TLS i AWS-referensarkitektur.

För närvarande stöds inte TLS på Tableau Server-backendprocesserna som körs i intervallet 8000–9000. För att aktivera TLS måste du konfigurera en oberoende gateway med en reläanslutning till Tableau Server.

Den här proceduren beskriver hur du aktiverar och konfigurerar TLS på en oberoende gateway till Tableau Server och Tableau Server till den oberoende gatewayen. Proceduren krypterar relätrafiken över HTTPS/443 och rensningstrafiken över HTTPS/21319.

Linux-procedurerna i detta exempel visar kommandon för RHEL-liknande distributioner. Mer specifikt har kommandona här utvecklats med Amazon Linux 2-distributionen. Om du kör Ubuntu-driftsättningen redigerar du kommandona på lämpligt sätt.

Den här vägledningen är föreskrivande för det specifika exemplet på AWS-referensarkitektur som presenteras i den här guiden. Därför ingår inte valfria konfigurationer. Fullständig referensdokumentation finns i Konfigurera TLS på oberoende gateway (Linux(Länken öppnas i ett nytt fönster)).

Innan du konfigurerar TLS

Utför TLS-konfigurationerna utanför kontorstid. Konfigurationen kräver minst en omstart av Tableau Server. Om du kör en fullständig driftsättning av referensarkitektur med fyra noder kan omstarten ta ett tag.

• Verifiera att klienter kan ansluta till Tableau Server över HTTP. Konfigurering av TLS med oberoende gateway är en process i flera steg och kan kräva felsökning. Därför rekommenderar vi att du börjar med en fullt fungerande Tableau Server-driftsättning innan du konfigurerar TLS.

• Samla ihop TLS/SSL-certifikat, nycklar och relaterade resurser. Du behöver SSL-certifikat för oberoende gateways och för Tableau Server. För att underlätta certifikathanteringen och driftsättningen, och som en rekommenderad säkerhetsåtgärd, bör du använda certifikat genererade av någon av de stora betrodda certifikatutfärdarna (CA). Du kan också generera självsignerade certifikat eller använda certifikat från en PKI för TLS.

  Exempelkonfigurationen i det här ämnet använder följande resursnamn som illustration:

  • tsig-ssl.crt: TLS/SSL-certifikatet för oberoende gateway.
  • tsig-ssl.key: Den privata nyckeln för tsig-ssl.crt på oberoende gateway.
  • ts-ssl.crt: TLS/SSL-certifikatet för Tableau Server.
  • ts-ssl.key: Den privata nyckeln för tsig-ssl.crt på Tableau Server.
  • tableau-server-CA.pem: Rotcertifikatet för den CA som genererar certifikaten för Tableau Server-datorerna. Det här certifikatet krävs vanligtvis inte om du använder certifikat från större betrodda tredje parter.
  • rootTSIG-CACert.pem: Rotcertifikatet för den CA som genererar certifikaten för datorerna med oberoende gateway. Det här certifikatet krävs vanligtvis inte om du använder certifikat från större betrodda tredje parter.
  • Det krävs även andra certifikat och nyckelfilsresurser för SAML som beskrivs i del 5 av den här guiden.
  • Om din implementering kräver att en certifikatkedjefil används, se kunskapsbasartikeln Konfigurera TLS på oberoende gateway när du använder ett certifikat som har en certifikatkedja(Länken öppnas i ett nytt fönster).

• Verifiera att du har tillgång till IdP. Om du använder en IdP för autentisering behöver du sannolikt göra ändringar i mottagaren och destinationsadresserna på IdP:n efter att du har konfigurerat SSL/TLS.

Konfigurera datorer med oberoende gateway för TLS

Det kan uppstå många fel när TLS konfigureras. Eftersom felsökning över två instanser av en oberoende gateway kan vara tidskrävande rekommenderar vi att du aktiverar och konfigurerar TLS på EDG-driftsättningen med bara en oberoende gateway. När du har validerat att TLS fungerar över hela driftsättningen konfigurerar du den andra datorn med oberoende gateway.

Steg 1: Distribuera certifikat och nycklar till dator med oberoende gateway

Du kan distribuera resurserna till vilken katalog som helst så länge som tsig-httpd-användaren har läsåtkomst till filerna. Sökvägarna till de här filerna hänvisas till i andra procedurer. Vi kommer att använda exempelsökvägarna under /etc/ssl, som visas nedan, genom hela ämnet.

1. Skapa katalog för privat nyckel:

   sudo mkdir -p /etc/ssl/private

2. Kopiera certifikat- och nyckelfilerna till /etc/ssl-sökvägarna. Exempel:

   sudo cp tsig-ssl.crt /etc/ssl/certs/

   sudo cp tsig-ssl.key /etc/ssl/private/

3. (Valfritt) Om du använder ett självsignerat certifikat eller ett PKI-certifikat för SSL/TLS på Tableau Server måste du även kopiera CA-rotcertifikatfilen till datorn med oberoende gateway. Exempel:

   sudo cp tableau-server-CA.pem /etc/ssl/certs/

Steg 2: Uppdatera miljövariablerna för TLS

Du måste uppdatera port- och protokollmiljövariabler för konfiguration av oberoende gateway.

Ändra de här värdena genom att uppdatera filen /etc/opt/tableau/tableau_tsig/environment.bash så här:

TSIG_HK_PROTOCOL="https"
TSIG_PORT="443"
TSIG_PROTOCOL="https"

Steg 3: Uppdatera stubbkonfigurationsfilen för HK-protokollet

Redigera stubbkonfigurationsfilen manuellt (/var/opt/tableau/tableau_tsig/config/httpd.conf.stub) för att ställa in TLS-relaterade Apache httpd-direktiv för HK-protokollet (housekeeping protocol – rensningsprotokoll).

Stubbkonfigurationsfilen innehåller ett block av TLS-relaterade direktiv som kommenteras ut med en#TLS#-markör. Ta bort markörerna från direktiven enligt exemplet nedan. Observera att exemplet visar användningen av rot-CA-certifikat för SSL-certifikatet som används på Tableau Server med alternativet SSLCACertificateFile.

#TLS# SSLPassPhraseDialog exec:/path/to/file
<VirtualHost *:${TSIG_HK_PORT}>
SSLEngine on
#TLS# SSLHonorCipherOrder on
#TLS# SSLCompression off
SSLCertificateFile /etc/ssl/certs/tsig-ssl.crt
SSLCertificateKeyFile /etc/ssl/private/tsig-ssl.key
SSLCACertificateFile /etc/ssl/certs/tableau-server-CA.pem
#TLS# SSLCARevocationFile /path/to/file
</VirtualHost>

De här ändringarna går förlorade om du installerar om den oberoende gatewayen. Vi rekommenderar att du gör en säkerhetskopia.

Steg 4: Kopiera stubbfil och starta om tjänsten

1. Kopiera filen som du uppdaterade i det föregående steget för att uppdatera httpd.conf med ändringarna:

   cp /var/opt/tableau/tableau_tsig/config/httpd.conf.stub /var/opt/tableau/tableau_tsig/config/httpd.conf

2. Starta om oberoende gateway-tjänsten:

   sudo su - tableau-tsig
   systemctl --user restart tsig-httpd
   exit

När du har startat om fungerar inte den oberoende gatewayen förrän du kört nästa uppsättning steg på Tableau Server. När du har slutfört stegen på Tableau Server kommer den oberoende gatewayen att anta ändringar och gå online.

Konfigurera Tableau Server-nod 1 för TLS

Kör de här stegen på nod 1 i din Tableau Server-driftsättning.

Steg 1: Kopiera certifikat och nycklar och stoppa TSM

1. Verifiera att du har Tableau Server-certifikaten ”extern SSL” och nycklarna kopierade till kod 1.

2. För att minimera stilleståndstiden rekommenderar vi att du stoppar TSM, kör följande steg och sedan startar TSM efter att ändringar har tillämpats:

   tsm stop

Steg 2: Ställ in certifikatresurser och aktivera oberoende gateway-konfiguration

1. Ange platsen för certifikat och nyckelfiler för oberoende gateway. De här sökvägarna hänvisar till platsen på datorerna med oberoende gateway. Observera att det här exemplet förutsätter att samma certifikat och nyckelpar används för att skydda HTTPS och rensningstrafik:

   tsm configuration set -k gateway.tsig.ssl.cert.file_name -v /etc/ssl/certs/tsig-ssl.crt --force-keys 
   tsm configuration set -k gateway.tsig.ssl.key.file_name -v /etc/ssl/private/tsig-ssl.key --force-keys	

2. Aktivera TLS för HTTPS- och HK-protokoll för oberoende gateway:

   tsm configuration set -k gateway.tsig.ssl.enabled -v true --force-keys
   tsm configuration set -k gateway.tsig.hk.ssl.enabled -v true --force-keys

3. (Valfritt) Om du använder ett självsignerat certifikat eller ett PKI-certifikat för SSL/TLS på den oberoende gatewayen måste du ladda upp CA-rotcertifikatfilen. CA-rotcertifikatfilen är rotcertifikatet som användes för att generera certifikaten för datorerna med oberoende gateway. Exempel:

   tsm security custom-cert add -c rootTSIG-CACert.pem

4. (Valfritt) Om du använder ett självsignerat certifikat eller ett PKI-certifikat för SSL/TLS på Tableau Server måste du kopiera CA-rotcertifikatfilen till katalogen för oberoende gateway /etc/ssl/certs. CA-rotcertifikatfilen är rotcertifikatet som användes för att generera certifikaten för Tableau Server-datorerna. Efter att du har kopierat certifikatet till den oberoende gatewayen måste du ange platsen för certifikatet på nod 1 med följande tsm-kommando. Exempel:

   tsm configuration set -k gateway.tsig.ssl.proxy.gateway_relay_cluster.cacertificatefile -v /etc/ssl/certs/tableau-server-CA.pem --force-keys

5. (Valfritt: endast för teständamål) Om du använder självsignerade certifikat eller PKI-certifikat för delning mellan datorer och ämnesnamnen på certifikaten därför inte matchar datornamnen måste du inaktivera certifikatverifiering. 

   tsm configuration set -k gateway.tsig.ssl.proxy.verify -v optional_no_ca --force-keys

Steg 3: Aktivera ”extern SSL” för Tableau Server och tillämpa ändringar

1. Aktivera och konfigurera ”extern SSL” på Tableau Server:

   tsm security external-ssl enable --cert-file ts-ssl.crt --key-file ts-ssl.key

2. Tillämpa ändringarna.

   tsm pending-changes apply

Steg 4: Uppdatera JSON-filen för gatewaykonfiguration och starta tsm

1. Uppdatera konfigurationsfilen för oberoende gateway (till exempel tsig.json) på Tableau Server-sidan för att ange https-protokollet för oberoende gateway-objekten:

   "protocol" : "https",

2. Ta bort (eller kommentera ut) anslutningsinformationen för den andra instansen av oberoende gateway. Se till att verifiera JSON i en extern redigerare innan du sparar den.

   När du har konfigurerat och validerat TLS för den enskilda instansen av oberoende gateway uppdaterar du den här JSON-filen med anslutningsinformationen för den andra instansen av oberoende gateway.

3. Kör följande kommando för att uppdatera konfigurationen av oberoende gateway:

   tsm topology external-services gateway update -c tsig.json

4. Starta TSM.

   tsm start

5. Medan TSM startar loggar du in på instansen för oberoende gateway och startar omtsig-httpd-tjänsten:

   sudo su - tableau-tsig

   systemctl --user restart tsig-httpd

   exit

Uppdatera IdP-autentiseringsmodulens URL:er till HTTPS

Om du har konfigurerat en extern identitetsleverantör för Tableau måste du sannolikt uppdatera returadresser (URL) i den administrativa instrumentpanelen för IdP.

Om du till exempel använder ett förauktoriseringsprogram för Okta måste du uppdatera programmet för att använda HTTPS-protokollet för mottagaradressen och destinationsadressen.

Konfigurera AWS-belastningsutjämnare för HTTPS

Om du distribuerar med AWS-belastningsutjämnaren enligt den här guiden konfigurerar du om AWS-belastningsutjämnaren så att den skickar HTTPS-trafik till datorerna som kör oberoende gateway:

1. Ta bort den befintliga HTTP-målgruppen:

   I Målgrupper väljer du den HTTP-målgrupp som har konfigurerats för belastningsbalansen, klickar på Åtgärder och sedan på Ta bort.

2. Skapa HTTPS-målgrupp:

   Målgrupper > Skapa målgrupp

   • Välj ”Instanser”
   • Ange ett namn på målgruppen, till exempel TG-internal-HTTPS
   • Välj din VPC
   • Protokoll: HTTPS 443
   • Under Hälsokontroller > Avancerade inställningar för hälsokontroller > Framgångskoder lägger du till kodlistan enligt följande: 200,303.
   • Klicka på Skapa.

3. Välj den målgrupp som du just skapade och klicka sedan på fliken Mål: 

   • Klicka på Redigera
   • Välj den EC2-instans som kör den oberoende gateway för Tableau Server som du har konfigurerat och klicka sedan på Lägg till bland registrerade.
   • Klicka på Spara.

4. När målgruppen har skapats måste du aktivera varaktighet:

   • Öppna sidan AWS-målgrupp (EC2 > Belastningsutjämning > Målgrupper) och välj den målgruppsinstans som du just konfigurerade. I Åtgärdsmenyn väljer du Redigera attribut.
   • På sidan Redigera attribut väljer du Varaktighet, anger en varaktigheten 1 day och trycker sedan på Spara ändringar.

5. Uppdatera lyssnarreglerna vid belastningsutjämning. Välj den belastningsutjämnare du har konfigurerat för den här driftsättningen och klicka sedan på fliken Lyssnare .

   • För HTTP:80 klickar du på Visa/redigera regler. Öppna sidan Regler och klicka därefter på redigeringsikonen (en gång högst upp på sidan och sedan igen bredvid regeln) för att redigera regeln. Ta bort den befintliga THEN-regeln och ersätt den genom att klicka på Lägg till åtgärd > Omdirigera till .... I den resulterande SEDAN-konfigurationen anger du HTTPS och port 443 och låter övriga alternativ behålla standardinställningarna. Spara inställningen och klicka sedan på Uppdatera.
   • För HTTPS:443 klickar du på View/edit rules (Visa/redigera regler). Öppna sidan Regler och klicka därefter på redigeringsikonen (en gång högst upp på sidan och sedan igen bredvid regeln) för att redigera regeln. Ta bort befintlig THEN-regel och ersätt genom att klicka på Lägg till åtgärd > Vidarebefordra till .... Ange målgruppen för HTTPS-gruppen som du just skapade. Aktivera varaktighet under Varaktighet på gruppnivå och ange varaktigheten till 1 dag. Spara inställningen och klicka sedan på Uppdatera.

6. Uppdatera tidsgränsen för inaktivitet till 400 sekunder för belastningsutjämnaren. Välj den belastningsutjämnare du har konfigurerat för den här driftsättningen och klicka sedan på Åtgärder > Redigera attribut. Ställ in tidsgränsen för inaktivitet på 400 sekunder och klicka sedan på Spara.

Validera TLS

Validera att TLS fungerar genom att logga in på Tableau Server med den offentliga URL:en (t.ex., https://tableau.example.com) med det Tableau-administratörskonto som du skapade i början av den här proceduren.

Om TSM inte startar eller om du får andra fel, se Felsöka oberoende gateway för Tableau Server.

Konfigurera den andra instansen av oberoende gateway för SSL

När du har konfigurerat den första instansen av oberoende gateway driftsätter du den andra instansen.

För att driftsätta den andra oberoende gatewayen behöver du följa stegen nedan:

1. På den konfigurerade (första) instansen av oberoende gateway: kopiera följande filer till motsvarande platser på den andra instansen av oberoende gateway:

   • /etc/ssl/certs/tsig-ssl.crt
   • /etc/ssl/private/tsig-ssl.key (Du måste skapa katalogen private på den andra instansen).
   • /var/opt/tableau/tableau_tsig/config/httpd.conf.stub
   • /etc/opt/tableau/tableau_tsig/environment.bash

2. På nod 1 i Tableau Server-driftsättningen uppdaterar du anslutningsfilen (tsig.json ) med anslutningsinformationen från den andra oberoende gatewayen.

   Ett exempel på anslutningsfil (tsig.json) visas här:

   {
   "independentGateways": [
    {
      "id": "ip-10-0-1-169.ec2.internal",
      "host": "ip-10-0-1-169.ec2.internal",
      "port": "21319",
      "protocol" : "https",
      "authsecret": "13660-27118-29070-25482-9518-22453"
    },
    {
      "id": "ip-10-0-2-230.ec2.internal",
      "host": "ip-10-0-2-230.ec2.internal",
      "port": "21319",
      "protocol" : "https",
      "authsecret": "9055-27834-16487-27455-30409-7292"
    }]
    }

3. På nod 1 i Tableau Server-driftsättningen kör du följande kommandon för att uppdatera konfigurationen:

   tsm stop

   tsm topology external-services gateway update -c tsig.json
   

   tsm start

4. På båda instanserna av oberoende gateway: när Tableau Server startar, starta omtsig-httpd-processen på båda instanserna av oberoende gateway:

   sudo su - tableau-tsig

   systemctl --user restart tsig-httpd

   exit

5. I AWS EC2 > Målgrupper: Uppdatera målgruppen för att inkludera EC2-instansen som kör den andra oberoende gateway-instansen.

   Välj den målgrupp som du just skapade och klicka sedan på fliken Mål: 

   • Klicka på Redigera.
   • Välj EC2-instansen för datorn med den andra oberoende gatewayen och klicka sedan på Lägg till i registrerade. Klicka sedan på Spara.

Konfigurera SSL för Postgres

Du kan valfritt konfigurera SSL (TLS) för Postgres-anslutningen för den externa lagringsplatsanslutningen på Tableau Server.

För att underlätta certifikathanteringen och driftsättningen, och som en rekommenderad säkerhetsåtgärd, bör du använda certifikat genererade av någon av de stora betrodda certifikatutfärdarna (CA). Du kan också generera självsignerade certifikat eller använda certifikat från en PKI för TLS.

Denna procedur beskriver hur du använder OpenSSL för att generera självsignerade certifikat på Postgres-värden för en RHEL-lik Linux-distribution i exemplet för AWS-referensarkitektur.

När du har genererat och signerat SSL-certifikatet måste du kopiera CA-certifikatet till Tableau-värden.

På värden som kör Postgres:

1. Generera signeringsnyckel för rotcertifikatutfärdare (CA, Certificate Authority):

   openssl genrsa -out pgsql-rootCAKey.pem 2048

2. Skapa certifikat för rot-CA:

   openssl req -x509 -sha256 -new -nodes -key pgsql-rootCAKey.pem -days 3650 -out pgsql-rootCACert.pem

   Du uppmanas att ange värden i certifikatfälten. Till exempel:

   Country Name (2 letter code) [XX]:US
   State or Province Name (full name) []:Washington
   Locality Name (eg, city) [Default City]:Seattle
   Organization Name (eg, company) [Default Company Ltd]:Tableau
   Organizational Unit Name (eg, section) []:Operations
   Common Name (eg, Postgres server's hostname) []:ip-10-0-1-189.us-west-1.compute.internal
   Email Address []:example@tableau.com				

3. Skapa certifikatet och relaterad nyckel (server.csr och server.key i nedanstående exempel) för Postgres-datorn. Certifikatmottagarens namn måste stämma överens med EC2-instansens privata DNS-namn för Postgres-värden. Certifikatmottagarens namn anges med alternativet -subj i formatet "/CN=<private DNS name>", till exempel:

   openssl req -new -nodes -text -out server.csr -keyout server.key -subj "/CN=ip-10-0-1-189.us-west-1.compute.internal"

4. Signera det nya certifikatet med det CA-certifikat som du skapade i steg 2. Följande kommando skapar även certifikatet i crt-format:

   openssl x509 -req -in server.csr -days 3650 -CA pgsql-rootCACert.pem -CAkey pgsql-rootCAKey.pem -CAcreateserial -out server.crt

5. Kopiera crt- och nyckelfilerna till Postgres-sökvägen /var/lib/pgsql/13/data/:

   sudo cp server.crt /var/lib/pgsql/13/data/

   sudo cp server.key /var/lib/pgsql/13/data/

6. Byt till rotanvändare:

   sudo su

7. Ställ in behörigheter på cer- och nyckelfilerna. Kör följande kommandon:

   cd /var/lib/pgsql/13/data
   chown postgres.postgres server.crt
   chown postgres.postgres server.key
   chmod 0600 server.crt
   chmod 0600 server.key

8. Uppdatera pg_haba-konfigurationsfilen, /var/lib/pgsql/13/data/pg_hba.conf för att specificera md5-förtroende:

   Ändra de befintliga anslutningssatserna från

   host all all 10.0.30.0/24 password och

   host all all 10.0.31.0/24 password

   till

   host all all 10.0.30.0/24 md5 och

   host all all 10.0.31.0/24 md5.

9. Uppdatera postgresql-filen, /var/lib/pgsql/13/data/postgresql.conf, genom att lägga till följande rad:

   ssl = on

10. Avsluta rotanvändarläget:

    exit

11. Starta om Postgres:

    sudo systemctl restart postgresql-13

Valfritt: Aktivera certifikatförtroendevalidering på Tableau Server för Postgres SSL

Om du följde installationsproceduren i Del 4 – Installera och konfigurera Tableau Server så är Tableau Server konfigurerad med valfri SSL för Postgres-anslutningen. Detta innebär att konfigurering av SSL på Postgres (enligt beskrivningen ovan) resulterar i en krypterad anslutning.

Om du vill kräva certifikatförtroendevalidering för anslutningen måste du köra följande kommando på Tableau Server för att konfigurera om Postgres-värdanslutningen:

tsm topology external-services repository replace-host -f <filename>.json -c CACert.pem

där <filename>.json är anslutningsfilen som beskrivs i Konfigurera extern Postgres. Och CACert.pem är CA-certifikatfilen för SSL/TLS-certifikatet som används av Postgres.