คู่มือการนำ Tableau Server ไปใช้งานในองค์กร

ระดับของเว็บของสถาปัตยกรรมการอ้างอิงจะรวมอยู่ในส่วนประกอบต่อไปนี้

• ตัวจัดสรรภาระงานแอปพลิเคชันที่เชื่อมต่อกับเว็บซึ่งยอมรับคำขอ HTTPS จากไคลเอ็นต์ Tableau และสื่อสารกับเซิร์ฟเวอร์พร็อกซีแบบย้อนกลับ
• พร็อกซีแบบย้อนกลับ 
  • เราขอแนะนำให้ปรับใช้เกตเวย์อิสระของ Tableau Server
  • เราขอแนะนำให้ใช้เซิร์ฟเวอร์พร็อกซีอย่างต่ำ 2 เครื่องเพื่อให้เกิดการทำซ้ำและจัดการกับภาระงานของไคลเอ็นต์
  • รับการเข้าชม HTTPS จากตัวจัดสรรภาระงาน
  • รองรับเซสชันความต่อเนื่องสำหรับโฮสต์ Tableau
  • กำหนดค่าพร็อกซีสำหรับการจัดสรรภาระงานแบบสลับกันทำงานไปยัง Tableau Server แต่ละรายการที่ใช้กระบวนการเกตเวย์
  • จัดการคำขอการตรวจสอบสิทธิ์จาก IdP ภายนอก
• พร็อกซีแบบส่งต่อ: Tableau Server ต้องมีสิทธิ์เข้าถึงอินเทอร์เน็ตเพื่อการให้สิทธิ์อนุญาตและฟังก์ชันการจับคู่ คุณต้องกำหนดค่ารายการที่อนุญาตส่งต่อพร็อกซีให้กับ URL ของบริการ Tableau ดูหัวข้อการสื่อสารกับอินเทอร์เน็ต (Linux(ลิงก์จะเปิดในหน้าต่างใหม่))
• การใช้งานบนเครือข่ายทั้งหมดที่เกี่ยวข้องกับไคลเอ็นต์อาจได้รับการเข้ารหัสผ่าน HTTPS:
  • ตัวจัดสรรภาระงานไคลเอ็นต์ถึงแอปพลิเคชัน
  • ตัวจัดสรรภาระงานแอปพลิเคชันเพื่อเซิร์ฟเวอร์พร็อกซีย้อนกลับ
  • เซิร์ฟเวอร์พร็อกซีถึง Tableau Server
  • ตัวจัดการการตรวจสอบสิทธิ์ที่เรียกใช้บนพร็อกซีย้อนกลับถึง IdP
  • Tableau Server ถึง IdP

เกตเวย์อิสระของ Tableau Server

Tableau Server เวอร์ชัน 2022.1 ได้เริ่มใช้เกตเวย์อิสระของ Tableau Server เกตเวย์อิสระคืออินสแตนซ์แบบสแตนด์อโลนของกระบวนการเกตเวย์ของ Tableau ที่ทำหน้าที่เป็นพร็อกซีแบบย้อนกลับแบบคำนึงถึง Tableau

เกตเวย์อิสระรองรับการจัดสรรภาระงานแบบวนรอบอย่างง่ายไปยัง Tableau Server ในแบ็กเอนด์ อย่างไรก็ตาม เกตเวย์อิสระไม่ได้มีวัตถุประสงค์เพื่อใช้เป็นตัวจัดสรรภาระงานของแอปพลิเคชันระดับองค์กร เราขอแนะนำให้เรียกใช้เกตเวย์อิสระที่อยู่เบื้องหลังตัวจัดสรรภาระงานของแอปพลิเคชันระดับองค์กร

เกตเวย์อิสระจำเป็นต้องมีใบอนุญาต Advanced Management

การตรวจสอบสิทธิ์และการให้สิทธิ์

โครงสร้างอ้างอิงตามค่าเริ่มต้นเจาะจงกำหนดการติดตั้ง Tableau Server กับการตรวจสอบสิทธิ์ที่กำหนดค่า ในแบบจำลองนี้ ไคลเอ็นต์จะต้องเชื่อมต่อเข้ากับ Tableau Server เพื่อ ตรวจสอบสิทธิ์ตามกระบวนการตรวจสอบสิทธิ์ในเครื่องของ Tableau Server แบบเนทีฟ เราไม่แนะนำให้ใช้วิธีการตรวจสอบสิทธิ์นี้ในโครงสร้างการอ้างอิงเพราะสถานการณ์ที่ไคลเอ็นต์ที่ไม่ผ่านการตรวจสอบสิทธิ์จะสื่อสารที่ระดับของแอปพลิเคชัน ซึ่งเสี่ยงต่อความปลอดภัย

เราขอให้แนะให้กำหนดค่าผู้ให้บริการข้อมูลประจำตัวภายนอกระดับองค์กรที่เชื่อมโยงกับโมดูล AuthN เพื่อตรวจสอบสิทธิ์ล่วงหน้าให้การใช้งานในเครือข่ายทั้งหมดแก่ระดับของแอปพลิเคชัน เมื่อกำหนดค่าด้วย IdP ภายนอกแล้ว ระบบจะไม่ใช้กระบวนการตรวจสอบสิทธิ์ในเครื่องของ Tableau Server แบบเนทีฟ Tableau Server จะให้สิทธิ์การเข้าถึงทรัพยากรในการปรับใช้หลังจากที่ IdP ตรวจสอบสิทธิ์ผู้ใช้แล้ว

การตรวจสอบสิทธิ์ล่วงหน้าด้วยโมดูล AuthN

ในตัวอย่างที่ระบุในคู่มือนี้ เราจะกำหนดค่า SAML SSO แต่กระบวนการตรวจสอบล่วงหน้าจะสามารถกำหนดค่าผู้ให้บริการข้อมูลประจำตัวภายนอกส่วนส่วนใหญ่และโมดูล AuthN ได้

ในสถาปัตยกรรมอ้างอิง พร็อกซีย้อนกลับจะได้รับการกำหนดค่าเพื่อสร้างเซสชันการตรวจสอบสิทธิ์ไคลเอ็นต์โดยใช้ IdP ก่อนที่จะให้พร็อกซีกับคำขอเหล่านี้เพื่อเข้าถึง Tableau Server เราเรียกกระบวนการนี้ว่าขั้นตอนตรวจสอบสิทธิ์ล่วงหน้า พร็อกซีย้อนกลับจะเปลี่ยนทิศทางเฉพาะเซสชันของไคลเอ็นต์ที่ตรวจสอบสิทธิ์เพื่อเข้าถึง Tableau Server แล้วเท่านั้น จากนั้น Tableau Server จะสร้างเซสชัน ยืนยันการตรวจสอบสิทธิ์ของเซสชันกับ IdP แล้วจึงส่งคืนคำขอไคเอ็นต์

แผนภาพต่อไปนี้จะแสดงรายละเอียดทีละขั้นตอนสำหรับกระบวนการตรวจสอบสิทธิ์ล่วงหน้าและกระบวนการตรวจสอบสิทธิ์ด้วยโมดูล AuthN ที่กำหนดค่าแล้ว พร็อกซีย้อนกลับอาจเป็นโซลูชันของบุคคลที่สามทั่วไปหรือเกตเวย์อิสระของ Tableau Server

ภาพรวมการกำหนดค่า

ส่วนนี้จะเป็นภาพรวมของกระบวนการเพื่อกำหนดค่าระดับของเว็บ ตรวจสอบการเชื่อมต่อหลังแต่ละขั้นตอน

1. กำหนดค่าพร็อกซีย้อนกลับสองรายการเพื่อให้การเข้าถึง HTTP ไปที่ Tableau Server
2. กำหนดค่าตรรกะการจัดสรรภาระงานกับเซสชันต่อเนื่องบนเซิร์ฟเวอร์พร็อกซีเพื่อเชื่อมต่ออินสแตนซ์ Tableau Server แต่ละรายการที่ใช้กระบวนการของเกตเวย์
3. กำหนดค่าการจัดสรรภาระงานแอปพลิเคชันกับเซสชันต่อเนื่องที่เกตเวย์อินเทอร์เน็ตเพื่อส่งต่อคำขอไปยังเซิร์ฟเวอร์พร็อกซีย้อนกลับ
4. กำหนดค่าการตรวจสอบสิทธิ์กับ IdP ภายนอก คุณสามารถกำหนดค่า SSO หรือ SAML ได้โดยการติดตั้งตัวจัดการการตรวจสอบสิทธิ์บนเซิร์ฟเวอร์พร็อกซีย้อนกลับ โมดูล AuthN จะจัดการแฮนด์เชคการตรวจสอบสิทธิ์ระหว่าง IdP ภายนอกและการปรับใช้ Tableau ของคุณ Tableau จะทำหน้าที่เป็นผู้ให้บริการ IdP และตรวจสอบสิทธิ์ผู้ใช้ด้วย IdP เช่นกัน
5. หากต้องการตรวจสอบสิทธิ์ด้วย Tableau Desktop ในการปรับใช้นี้ ไคลเอ็นต์ของคุณจะต้องใช้ Tableau Desktop 2021.2.1 หรือใหม่กว่า

ตัวอย่างการกำหนดค่าระดับของเว็บด้วยเกตเวย์อิสระของ Tableau Server

ส่วนที่เหลือของหัวข้อนี้จะแสดงขั้นตอนระดับผู้ใช้ที่อธิบายวิธีการใช้ระดับของเว็บในตัวอย่างสถาปัตยกรรมอ้างอิง AWS ด้วยเกตเวย์อิสระของ Tableau Server สำหรับตัวอย่างการกำหนดค่าโดยใช้ Apache เป็นพร็อกซีย้อนกลับโปรดดู ภาคผนวก - ระดับเว็บที่มีการใช้งานตัวอย่าง Apache

ตัวอย่างการกำหนดค่าประกอบด้วยองค์ประกอบต่อไปนี้

• ตัวจัดสรรภาระงานแอปพลิเคชัน AWS
• เกตเวย์อิสระของ Tableau Server
• โมดูลการตรวจสอบสิทธิ์ Mellon
• IdP ของ Okta
• การตรวจสอบสิทธิ์ SAML

หมายเหตุ: ตัวอย่างการกำหนดค่าระดับของเว็บที่แสดงในส่วนนี้รวมกระบวนการโดยละเอียดสำหรับการปรับใช้ซอฟต์แวร์และบริการของบุคคลที่สาม เราได้พยายามอย่างสุดความสามารถที่จะตรวจสอบและบันทึกกระบวนการเพื่อเปิดใช้งานสถานการณ์ระดับของเว็บ อย่างไรก็ตาม ซอฟต์แวร์ของบุคคลที่สามอาจเปลี่ยนแปลงหรือสถานการณ์อาจแตกต่างไปจากสถาปัตยกรรมอ้างอิงที่อธิบายไว้ที่นี่ โปรดดูรายละเอียดและการสนับสนุนการกำหนดค่าที่เชื่อถือได้ในเอกสารประกอบของบุคคลที่สาม

ตัวอย่าง Linux ทั่วทั้งส่วนนี้แสดงคำสั่งสำหรับการกระจายที่คล้ายกับ RHEL โดยระบบได้พัฒนาคำสั่งตรงนี้โดยเฉพาะด้วยการกระจาย Amazon Linux 2 หากเรียกใช้การกระจาย Ubuntu ให้แก้ไขคำสั่งให้สอดคล้องกัน

การปรับใช้ระดับของเว็บในตัวอย่างนี้ปฏิบัติตามกระบวนการตรวจสอบและกำหนดค่าแบบทีละขั้น การกำหนดค่าระดับของเว็บที่สำคัญประกอบด้วยขั้นตอนต่อไปนี้ในการเปิดใช้งาน HTTP ระหว่าง Tableau และอินเทอร์เน็ต ระบบจะเรียกใช้และกำหนดค่าเกตเวย์อิสระให้กับพร็อกซีย้อนกลับ/การจัดสรรภาระงานเบื้องหลังตัวจัดการภาระงานแอปพลิเคชัน AWS:

1. เตรียมสภาพแวดล้อม
2. ติดตั้งเกตเวย์อิสระ
3. กำหนดค่าเซิร์ฟเวอร์เกตเวย์อิสระ
4. กำหนดค่าตัวจัดสรรภาระงานแอปพลิเคชัน AWS

หลังจากที่ตั้งค่าระดับของเว็บและตรวจสอบการเชื่อมต่อกับ Tableau ให้กำหนดค่าการตรวจสอบสิทธิ์ด้วยผู้ให้บริการภายนอก

เตรียมสภาพแวดล้อม

ดำเนินงานต่อไปนี้ให้เสร็จก่อนที่คุณจะปรับใช้เกตเวย์อิสระ

1. การเปลี่ยนแปลงกลุ่มการรักษาความปลอดภัย AWS กำหนดค่ากลุ่มการรักษาความปลอดภัยอิสระเพื่ออนุญาตให้การใช้งานเครือข่ายการดูแลความเรียบร้อยของเกตเวย์อิสระขาเข้า (TCP 21319) จากกลุ่มการรักษาความปลอดภัยส่วนตัว

2. ติดตั้งเวอร์ชัน 22.1.1 (หรือใหม่กว่า) บนโหนดทั้งสี่ตัวของคลัสเตอร์ Tableau Server ตามที่ระบุใน ตอนที่ 4: ติดตั้งและกำหนดค่า Tableau Server

3. กำหนดค่าอินสแตนซ์ EC2 ของพร็อกซีทั้งสองตัวในกลุ่มความปลอดภัยสาธารณะตามที่ระบุในกำหนดค่าคอมพิวเตอร์โฮสต์

ติดตั้งเกตเวย์อิสระ

เกตเวย์อิสระของ Tableau Server ต้องมีใบอนุญาต Advanced Management

การปรับใช้เกตเวย์อิสระของ Tableau Server ประกอบด้วยการติดตั้งและการเรียกใช้แพ็กเกจ .rpm แล้วจึงประบแต่งสถานะเบื้องต้น กระบวนการที่อยู่ในคู่มือนี้จะให้คำแนะนำที่กำหนดสำหรับการปรับใช้ในสถาปัตยกรรมอ้างอิง

หากการปรับใช้ของคุณแตกต่างจากสถาปัตยกรรมอ้างอิง โปรดดูเอกสารประกอบหลักของ Tableau Server การติดตั้ง Tableau Server กับเกตเวย์อิสระ (Linux(ลิงก์จะเปิดในหน้าต่างใหม่))

สำคัญ: การกำหนดค่าเกตเวย์อิสระเป็นกระบวนการที่อาจเกิดข้อผิดพลาดได้ การแก้ปัญหาการกำหนดค่าข้ามสองอินสแตนซ์ของเซิร์ฟเวอร์เกตเวย์อิสระเป็นเรื่องที่ยากมาก ด้วยเหตุผลนี้ เราจึงขอแนะนำให้กำหนดค่าเซิร์ฟเวอร์เกตเวย์อิสระครั้งละหนึ่งเซิร์ฟเวอร์ เมื่อกำหนดค่าเซิร์ฟเวอร์แรกและตรวจสอบการทำงานแล้ว จากนั้นคุณควรกำหนดค่าเซิร์ฟเวอร์เกตเวย์อิสระที่สอง

แม้ว่าคุณจะกำหนดค่าเซิร์ฟเวอร์เกตเวย์อิสระแต่ละเซิร์ฟเวอร์แยกกัน ให้ดำเนินกระบวนการติดตั้งนี้บนอินสแตนซ์ EC2 ทั้งคู่ที่คุณติดตั้งลงในกลุ่มความปลอดภัยสาธารณะ: 

1. ดำเนินการอัปเดตเพื่อใช้การแก้ไขล่าสุดกับ Linux OS

   sudo yum update

2. หากติดตั้ง Apache ไว้ ให้ลบออก:

    sudo yum remove httpd

3. คัดลอกแพ็กเกจการติดตั้งเกตเวย์อิสระเวอร์ชัน 2022.1.1 (หรือใหม่กว่า) จาก หน้าดาวน์โหลด Tableau(ลิงก์จะเปิดในหน้าต่างใหม่) ไปที่คอมพิวเตอร์โฮสต์ที่จะเรียกใช้ Tableau Server

   ตัวอย่างเช่น ในคอมพิวเตอร์ที่ใช้ระบบปฏิบัติการซึ่งคล้ายกับ RHEL ของ Linux ให้เรียกใช้

   wget https://downloads.tableau.com/esdalt/2022<version>/tableau-server-tsig-<version>.x86_64.rpm

4. เรียกใช้โปรแกรมการติดตั้ง ตัวอย่างเช่น เรียกใช้สิ่งต่อไปนี้บนระบบปฏิบัติการที่คล้ายกับ RHEL ของ Linux

   sudo yum install <tableau-tsig-version>.x86_64.rpm

5. เปลี่ยนไปที่ไดเรกทอรี/opt/tableau/tableau_tsig/packages/scripts.<version_code>/ แล้วเรียกใช้สคริปต์ initialize-tsig ที่อยู่ในนั้น นอกเหนือจากแฟล็ก --accepteula คุณต้องระบุช่วง IP ของเครือข่ายย่อยที่การปรับใช้ Tableau Server กำลังทำงาน ใช้ตัวเลือก -c เพื่อกำหนดช่วง IP ตัวอย่างด้านล่างจะแสดงคำสั่งที่กำหนดเครือข่ายย่อยของ AWS เป็นตัวอย่าง:

   sudo ./initialize-tsig --accepteula -c "ip 10.0.30.0/24 10.0.31.0/24"

6. หลังจากที่ขั้นตอนการเริ่มต้นเสร็จสิ้นแล้ว ให้เปิดไฟล์ tsighk-auth.conf แล้วคัดลอกข้อมูลลับการตรวจสอบสิทธิ์ในไฟล์ คุณจะต้องส่งโค้ดนี้ให้กับอินสแตนซ์ของเกตเวย์อิสระแต่ละรายการ ซึ่งเป็นส่วนหนึ่งของการกำหนดค่า Tableau Server เบื้องหลัง:

   sudo less /var/opt/tableau/tableau_tsig/config/tsighk-auth.conf

7. หลังจากที่คุณดำเนินการตามขั้นตอนก่อนหน้ากับทั้งสองอินสแตนซ์ของเกตเวย์อิสระแล้ว ให้เตรียมไฟล์การกำหนดค่า tsig.json ไฟล์การกำหนดค่าจะประกอบด้วยอาร์เรย์ "independentGateways" อาร์เรย์จะมีออบเจ็กต์การกำหนดค่าที่แต่ละออบเจ็กต์จะกำหนดรายละเอียดการเชื่อมต่อสำหรับอินสแตนซ์เกตเวย์อิสระ

   คัดลอก JSON ต่อไปนี้แล้วปรับแต่งตามสภาพแวดล้อมการปรับใช้ของคุณ ตัวอย่างในที่นี้จะแสดงไฟล์ที่เป็นตัวอย่างของสถาปัตยกรรมอ้างอิง AWS

   ไฟล์ JSON ตัวอย่างด้านล่างนี้จะมีเฉพาะข้อมูลการเชื่อมต่อสำหรับเกตเวย์อิสระเดียวเท่านั้น ในขั้นตอนถัดๆ ไป คุณจะต้องเพิ่มข้อมูลการเชื่อมต่อสำหรับเซิร์ฟเวอร์เกตเวย์อิสระที่สอง

   บันทึกไฟล์เป็น tsig.json สำหรับกระบวนการที่ตามมา

   {
   "independentGateways": [
    {
    	"id": "ip-10-0-1-169.ec2.internal",
    	"host": "ip-10-0-1-169.ec2.internal",
    	"port": "21319",
    	"protocol" : "http",
    	"authsecret": "13660-27118-29070-25482-9518-22453"
    	}]
    }

   • "id" - ชื่อ DNS ส่วนตัวของอินสแตนซ์ AWS EC2 ที่เรียกใช้เกตเวย์อิสระ.
   • "host" - เหมือนกับ "id"
   • "port" - พอร์ตดูแลความเรียบร้อย ค่าเริ่มต้นคือ "21319"
   • "protocol" - โปรโตคอลสำหรับการใช้งานเครือข่ายของไคลเอ็นต์ ปล่อยเอาไว้เป็น http สำหรับการกำหนดค่าเบื้องต้น
   • "authsecret" - ข้อมูลลับที่คุณคัดลอกมาจากขั้นตอนก่อนหน้า

เกตเวย์อิสระ: การเชื่อมต่อโดยตรงเทียบกับการเชื่อมต่อแบบถ่ายทอด

ก่อนดำเนินการต่อ คุณต้องตัดสินใจเลือกรูปแบบการเชื่อมต่อที่จะกำหนดค่าในการปรับใช้ของคุณ ได้แก่ การเชื่อมต่อโดยตรงหรือการเชื่อมต่อแบบถ่ายทอด เราจะอธิบายแต่ละตัวเลือกสั้นๆ พร้อมข้อมูลการตัดสินใจที่เกี่ยวข้อง

การเชื่อมต่อแบบถ่ายทอด: คุณสามารถกำหนดค่าเกตเวย์อิสระเพื่อถ่ายทอดการสื่อสารของไคลเอ็นต์ผ่านพอร์ตเดียวไปยังกระบวนการของเกตเวย์บน Tableau Server ได้ เราเรียกการสื่อสารนี้ว่าการเชื่อมต่อแบบถ่ายทอด:

• กระบวนการถ่ายทอดส่งผลให้เกิดข้ามขั้นจากเกตเวย์อิสระไปที่กระบวนการเกตเวย์ในเบื้องหลังของ Tableau Server การข้ามขั้นนี้จะทำให้ประสิทธิภาพลดลงเมื่อเทียบกับการกำหนดค่าการเชื่อมต่อโดยตรง
• TLS รองรับโหมดการถ่ายทอด การสื่อสารทั้งหมดในโหมดการถ่ายทอดจะจำกัดโปรโตคอลเดียว (HTTP หรือ HTTPS) ดังนั้นจึงสามารถเข้ารหัสและตรวจสอบสิทธิ์ด้วย TLS ได้

การเชื่อมต่อโดยตรง: เกตเวย์อิสระสามารถสื่อสารโดยตรงกับกระบวนการที่ทำงานในเบื้องหลังของ Tableau Server ผ่านหลายพอร์ต เราเรียกการสื่อสารนี้ว่าการเชื่อมต่อโดยตรง:

• เพราะเป็นการเชื่อมต่อโดยตรงเข้ากับเบื้องหลังของ Tableau Server ประสิทธิภาพของไคลเอ็นต์จึงได้รับการปรับปรุงให้ดีขึ้นมาก เมื่อเทียบกับการเชื่อมต่อแบบถ่ายทอด
• ต้องเปิดพอร์ตจากเครือข่ายย่อยสาธารณะถึงส่วนตัวมากกว่า 16 พอร์ตเพื่อการสื่อสารระหว่างกระบวนการโดยตรงจากเกตเวย์อิสระไปยังคอมพิวเตอร์ที่มี Tableau Server
• กระบวนการนี้ยังไม่รองรับ TLS จากเกตเวย์อิสระไปที่ Tableau Server

การตรวจสอบ: การกำหนดค่าโทโพโลยีฐาน

คุณควรเข้าถึงหน้าผู้ดูแลระบบ Tableau Server ได้โดยการเรียกดู http://<gateway-public-IP-address>

หากหน้าเข้าสู่ระบบ Tableau Server ไม่โหลดหรือหาก Tableau Server ไม่เริ่มทำงาน ให้ทำตามขั้นตอนการแก้ปัญหาเหล่านี้:

เครือข่าย: 

• ตรวจสอบการเชื่อมต่อระหว่างการปรับใช้ Tableau และอินสแตนซ์เกตเวย์อิสระโดยเรียกใช้คำสั่ง wget ต่อไปนี้จากโหนด 1 ของ Tableau Server: wget http://<internal IP address of Independent Gateway>:21319 เช่น

   wget http://ip-10-0-1-38:21319

  หากการเชื่อมต่อถูกปฏิเสธหรือล้มเหลว ให้ตรวจสอบว่ากลุ่มความปลอดภัยสาธารณะมีการกำหนดค่าเพื่ออนุญาตให้ใช้งานเครือข่ายการดูแลความเรียบร้อยของเกตเวย์อิสระขาเข้า (TCP 21319) จากกลุ่มความปลอดภัยส่วนตัว

  หากกลุ่มความปลอดภัยได้รับการกำหนดค่าอย่างถูกต้อง ให้ตรวจสอบว่าคุณระบุที่อยู่ IP หรือช่วง IP ที่ถูกต้องในระหว่างการเริ่มต้นเกตเวย์อิสระ คุณสามารถดูและเปลี่ยนแปลงการกำหนดค่านี้ได้ในไฟล์ environment.bash ซึ่งอยู่ที่/etc/opt/tableau/tableau_tsig/environment.bash หากคุณเปลี่ยนแปลงไฟล์นี้ ให้เริ่มบริการ tsig-http ใหม่อีกครั้งตามที่อธิบายไว้ด้านล่าง

บนโฮสต์พร็อกซี 1:

1. เขียนทับไฟล์ httpd.conf ด้วยไฟล์ stub ของเกตเวย์อิสระ:

   cp /var/opt/tableau/tableau_tsig/config/httpd.conf.stub /var/opt/tableau/tableau_tsig/config/httpd.conf

2. รีสตาร์ท tsig-httpd เป็นขั้นตอนการแก้ปัญหาแรก:

   sudo su - tableau-tsig
   systemctl --user restart tsig-httpd
   exit

โหนด 1 ของ Tableau

• ดับเบิลคลิกไฟล์ tsig.json หากคุณพบข้อผิดพลาด ให้แก้ไขแล้วเรียกใช้คำสั่ง tsm topology external-services gateway update -c tsig.json
• หากเรียกใช้การเชื่อมต่อโดยตรง ให้ตรวจสอบพอร์ต TCP ที่ระบุใน proxy_targets.csv ว่ากำหนดค่าเป็นพอร์ตขาเข้าขาเข้าจากกลุ่มการรักษาความปลอดภัยสาธารณะถึงส่วนตัว

กำหนดค่าตัวจัดสรรภาระงานแอปพลิเคชัน AWS

อัปเดต DNS ด้วย URL สาธารณะของ Tableau

ใช้ชื่อโซน DNS ของโดเมนจากคำอธิบายตัวจัดสรรภาระงาน AWS เพื่อสร้างค่า CNAME ใน DNS ระบบควรส่งการเข้าชมไปยัง URL (tableau.example.com) ไปที่ชื่อ DNS สาธารณะของ AWS

ตรวจสอบการเชื่อมต่อ

หลังจากที่อัปเดต DNS เสร็จสิ้น คุณควรไปที่หน้าเข้าสู่ระบบ Tableau Server ได้โดยการป้อน URL สาธารณะ เช่น https://tableau.example.com

ตัวอย่างการกำหนดค่าการตรวจสอบสิทธิ์: SAML ที่มี IdP ภายนอก

ตัวอย่างต่อไปนี้อธิบายวิธีตั้งค่าและกำหนดค่า SAML ด้วย IdP ของ Okta และโมดูลการตรวจสอบสิทธิ์ Mellon สำหรับการปรับใช้ Tableau ที่ทำงานในสถาปัตยกรรมอ้างอิง AWS

ตัวอย่างนี้จะหยิบยกขึ้นมาจากส่วนก่อนหน้านี้ และจะสมมติว่าคุณกำลังกำหนดค่าเกตเวย์อิสระครั้งละหนึ่งเกตเวย์

ตัวอย่างจะอธิบายวิธีการกำหนดค่า Tableau Server และเกตเวย์อิสระผ่าน HTTP Okta จะส่งคำขอไปยังตัวจัดสรรภาระงาน AWS ผ่าน HTTPS แต่การเข้าชมภายในทั้งหมดจะเคลื่อนผ่าน HTTP เมื่อคุณกำหนดค่าสำหรับสถานการณ์นี้ อย่าลืมคำนึงถึงโปรโตคอล HTTP กับ HTTPS เมื่อตั้งค่าสตริง URL

ตัวอย่างนี้ใช้ Mellon เป็นโมดูลผู้ให้บริการตรวจสอบสิทธิล่วงหน้าบนเซิร์ฟเวอร์เกตเวย์อิสระ การกำหนดค่านี้จะช่วยให้มั่นใจว่ามีเพียงการเข้าชมที่ตรวจสอบสิทธิ์เท่านั้นที่เชื่อมต่อกับ Tableau Server ซึ่งยังทำหน้าที่เป็นผู้ให้บริการร่วมกับ IdP ของ Okta อีกด้วย ดังนั้น คุณต้องกำหนดค่าแอปพลิเคชัน IdP 2 แบบ ได้แก่ แอปพลิเคชันสำหรับผู้ให้บริการของ Mellon และแอปพลิเคชันสำหรับผู้ให้บริการของ Tableau

ติดตั้ง Mellon สำหรับการตรวจสอบสิทธิ์ล่วงหน้า

ตัวอย่างนี้จะใช้ mod_auth_mellon ซึ่งเป็นโมดูลโอเพนซอร์ซยอดนิยม แพ็กเกจการแจกจ่าย Linux บางส่วนเป็นเวอร์ชัน mod_auth_mellon ที่ล้าสมัยจากที่เก็บที่เก่ากว่า เวอร์ชันที่ล้าสมัยเหล่านั้นอาจมีช่องโหว่ด้านความปลอดภัยที่ไม่รู้จักหรือมีปัญหาการทำงาน หากคุณเลือกใช้ mod_auth_mellon โปรดตรวจดูว่าคุณกำลังใช้เวอร์ชันปัจจุบัน

mod_auth_mellon module คือซอฟต์แวร์ของบุคคลที่สาม เราได้พยายามอย่างสุดความสามารถที่จะตรวจสอบและบันทึกกระบวนการเพื่อเปิดใช้งานสถานการณ์นี้ อย่างไรก็ตาม ซอฟต์แวร์ของบุคคลที่สามอาจเปลี่ยนแปลงหรือสถานการณ์อาจแตกต่างไปจากสถาปัตยกรรมอ้างอิงที่อธิบายไว้ที่นี่ โปรดดูรายละเอียดและการสนับสนุนการกำหนดค่าที่เชื่อถือได้ในเอกสารประกอบของบุคคลที่สาม

1. บนอินสแตนซ์ EC2 ที่กำลังทำงานซึ่งเรียกใช้เกตเวย์อิสระ ให้ติดตั้งโมดูลการตรวจสอบสิทธิ Mellon เวอร์ชันปัจจุบัน

2. สร้างไดเรกทอรี /etc/mellon:

   sudo mkdir /etc/mellon

กำหนดค่า Mellon เป็นโมดูลการตรวจสอบสิทธิ์ล่วงหน้า

เรียกใช้โกระบวนการนี้ในอินสแตนซ์แรกของเกตเวย์อิสระ

คุณต้องมีสำเนาของไฟล์ pre-auth_idp_metadata.xml ที่สร้างไว้จากการกำหนดค่า Okta

1. เปลี่ยนไดเรกทอรี

   cd /etc/mellon

2. สร้างเมตาดาต้าของผู้ให้บริการ เรียกใช้สคริปต์ mellon_create_metadata.sh คุณต้องรวม ID เอนทิตีและ URL การส่งคืนสำหรับองค์กรของคุณในคำสั่ง

   URL การส่งคืนจะเรียกว่า URL สำหรับการลงชื่อเพียงครั้งเดียวใน Okta องค์ประกอบสุดท้ายของเส้นทางใน URL การส่งคืนจะเรียกว่า MellonEndpointPath ในไฟล์การกำหนดค่า mellon.conf ที่จะตามมาภายหลังในกระบวนการนี้ ในตัวอย่างนี้ เราระบุ sso เป็นเส้นทางปลายทาง

   ตัวอย่าง:

   sudo /usr/libexec/mod_auth_mellon/mellon_create_metadata.sh https://tableau.example.com "https://tableau.example.com/sso"

   สคริปต์ส่งคืนใบรับรอง คีย์ และไฟล์เมตาดาต้าของผู้ให้บริการ

3. เปลี่ยนชื่อไฟล์ของผู้ให้บริการในไดเรกทอรี mellon เพื่อให้อ่านง่ายขึ้น เราจะดูไฟล์เหล่านี้ตามชื่อต่อไปนี้ในเอกสารประกอบ

   sudo mv *.key mellon.key
   sudo mv *.cert mellon.cert
   sudo mv *.xml sp_metadata.xml
   

4. คัดลอกไฟล์ pre-auth_idp_metadata.xml ไปยังไดเรกทอรีเดียวกัน

5. เปลี่ยนเจ้าของและสิทธิ์บนไฟล์ทั้งหมดในไดเรกทอรี /etc/mellon ดังนี้

   sudo chown tableau-tsig mellon.key
   sudo chown tableau-tsig mellon.cert
   sudo chown tableau-tsig sp_metadata.xml
   sudo chown tableau-tsig pre-auth_idp_metadata.xml 
   sudo chmod +r * mellon.key
   sudo chmod +r * mellon.cert
   sudo chmod +r * sp_metadata.xml
   sudo chmod +r * pre-auth_idp_metadata.xml 

6. สร้างไดเรกทอรี /etc/mellon/conf.d:

   sudo mkdir /etc/mellon/conf.d

7. สร้างไฟล์ global.conf ในไดเรกทอรี /etc/mellon/conf.d

   คัดลอกเนื้อหาที่แสดงด้านล่าง แต่อัปเดต MellonCookieDomain ด้วยชื่อโดเมนรูทของคุณ ตัวอย่างเช่น หากชื่อโดเมนของ Tableau คือ tableau.example.com ให้ป้อน example.com เป็นโดเมนรูท

   <Location "/">
   AuthType Mellon
   MellonEnable auth
   Require valid-user
   MellonCookieDomain <root domain>
   MellonSPPrivateKeyFile /etc/mellon/mellon.key
   MellonSPCertFile /etc/mellon/mellon.cert
   MellonSPMetadataFile /etc/mellon/sp_metadata.xml
   MellonIdPMetadataFile /etc/mellon/pre-auth_idp_metadata.xml
   MellonEndpointPath /sso
   </Location>
   
   <Location "/tsighk">
   MellonEnable Off
   </Location>

8. สร้างไฟล์ mellonmod.conf ในไดเรกทอรี /etc/mellon/conf.d

   ไฟล์นี้จะมีคำสั่งเดียวที่ระบุตำแหน่งของไฟล์ mod_auth_mellon.so ตำแหน่งในตัวอย่างนี้จะเป็นตำแหน่งตามค่าเริ่มต้นของไฟล์ ตรวจดูว่าไฟล์อยู่ในตำแหน่งนี้ หรือเปลี่ยนเส้นทางในคำสั่งนี้ให้ตรงกับตำแหน่งจริงของ mod_auth_mellon.so

   LoadModule auth_mellon_module /usr/lib64/httpd/modules/mod_auth_mellon.so

สร้างแอปพลิเคชัน Tableau Server ใน Okta

กำหนดค่าโมดูลการตรวจสอบสิทธิ์บน Tableau Server

เรียกใช้คำสั่งต่อไปนี้บนโหนด 1 ของ Tableau Server คำสั่งเหล่านี้ระบุตำแหน่งไฟล์สำหรับไฟล์การกำหนดค่า Mellon บนคอมพิวเตอร์ระยะไกลของเกตเวย์อิสระ ตรวจสอบอีกครั้งว่าเส้นทางของไฟล์ที่ระบุในคำสั่งเหล่านี้ตรงกับเส้นทางและตำแหน่งไฟล์บนคอมพิวเตอร์เกตเวย์อิสระระยะไกล

tsm configuration set -k gateway.tsig.authn_module_block -v "/etc/mellon/conf.d/mellonmod.conf" --force-keys
tsm configuration set -k gateway.tsig.authn_global_block -v "/etc/mellon/conf.d/global.conf" --force-keys

หากต้องการลดเวลาหยุดทำงาน อย่าทำการเปลี่ยนแปลงจนกว่าคุณจะเปิดใช้งาน SAML ตามที่อธิบายในส่วนถัดไป

เปิดใช้งาน SAML บน Tableau Server สำหรับ IdP

การรีสตาร์ทบริการ tsig-httpd

เมื่อมีการเปลี่ยนแปลงการปรับใช้ Tableau Server ให้กลับเข้าสู่ระบบไปที่คอมพิวเตอร์เกตเวย์อิสระของ Tableau Server และเรียกใช้คำสั่งต่อไปนี้เพื่อเริ่มบริการ tsig-httpd ใหม่อีกครั้งบนทั้งสองเซิร์ฟเวอร์

sudo su - tableau-tsig
systemctl --user restart tsig-httpd
exit

ตรวจสอบฟังก์ชันการทำงานของ SAML

หากต้องการตรวจสอบฟังก์ชันการทำงานของ SAML ตั้งแต่ต้นทางถึงปลายทาง ให้เข้าสู่ระบบ Tableau Server ผ่าน URL สาธารณะ (เช่น https://tableau.example.com) ด้วยบัญชีผู้ดูแลระบบ Tableau ที่สร้างไว้ตอนเริ่มต้นกระบวนการนี้

หาก TSM ไม่เริ่มทำงาน ("ข้อผิดพลาดของเกตเวย์") หรือหากคุณได้รับข้อผิดพลาดของเบราว์เซอร์เมื่อคุณพยายามเชื่อมต่อ โปรดดูที่การแก้ปัญหาเกตเวย์อิสระของ Tableau Server

กำหนดค่าโมดูลการตรวจสิบสิทธิบนอินสแตนซ์ที่สองของเกตเวย์อิสระ

หลังจากที่กำหนดค่าอินสแตนซ์แรกของเกตเวย์อิสระเรียบร้อยแล้ว ให้ปรับใช้อินสแตนซ์ที่ 2 ตัวอย่างในที่นี้คือกระบวนการขั้นสุดท้ายของการติดตั้งกรณีใช้งาน AWS/Mellon/Okta ตามที่อธิบายในหัวข้อนี้ กระบวนการจะสมมติว่าคุณได้ติดตั้งเกตเวย์อิสระบนอินสแตนซ์ที่สองตามที่อธิบายในหัวข้อก่อนหน้านี้แล้ว (ติดตั้งเกตเวย์อิสระ)

กระบวนการสำหรับการปรับใช้เกตเวย์อิสระที่ 2 ต้องทำตามขั้นตอนต่อไปนี้

1. บนอินสแตนซ์ที่สองของเกตเวย์อิสระ: ติดตั้งโมดูลการตรวจสอบสิทธิของ Mellon

   อย่ากำหนดค่าโมดูลการตรวจสอบสิทธิของ Mellon ตามที่อธิบายไว้ก่อนหน้าในหัวข้อนี้ แต่ให้คุณต้องลอกแบบการกำหนดค่าตามที่อธิบายไว้ในขั้นตอนต่อมาแทน

2. บนอินสแตนซ์ (แรก) ที่กำหนดค่าของเกตเวย์อิสระ:

   ทำสำเนา tar ของการกำหนดค่า Mellon ที่มีอยู่ ข้อมูลสำรอง tar จะเก็บรักษาลำดับชั้นและสิทธิ์ของไดเรกทอรีทั้งหมด เรียกใช้คำสั่งต่อไปนี้:

   cd /etc

   sudo tar -cvf mellon.tar mellon

   คัดลอก mellon.tar ไปยังอินสแตนซ์ที่สองของเกตเวย์อิสระ

3. บนอินสแตนซ์ที่สองของเกตเวย์อิสระ:

   แยกข้อมูล ("unzip") ไฟล์ tar ไปยังอินสแตนซ์ที่สองในไดเรกทอรี /etc เรียกใช้คำสั่งต่อไปนี้:

   cd /etc

   sudo tar -xvf mellon.tar

4. บนโหนด 1 ของการปรับใช้ Tableau Server: อัปเดตไฟล์การเชื่อมต่อ (tsig.json) ด้วยข้อมูลการเชื่อมต่อจากเกตเวย์อิสระที่ 2 คุณจะต้องเรียกคีย์การตรวจสอบสิทธิ์ตามที่อธิบายในหัวข้อก่อนหน้า (ติดตั้งเกตเวย์อิสระ)

   ตัวอย่างไฟล์การเชื่อมต่อ (tsig.json) จะปรากฏที่นี่

   {
   "independentGateways": [
    {
      "id": "ip-10-0-1-169.ec2.internal",
      "host": "ip-10-0-1-169.ec2.internal",
      "port": "21319",
      "protocol" : "http",
      "authsecret": "13660-27118-29070-25482-9518-22453"
    },
    {
      "id": "ip-10-0-2-230.ec2.internal",
      "host": "ip-10-0-2-230.ec2.internal",
      "port": "21319",
      "protocol" : "http",
      "authsecret": "9055-27834-16487-27455-30409-7292"
    }]
    }

5. บนโหนด 1 ของการปรับใช้ Tableau Server: เรียกใช้คำสั่งต่อไปนี้เพื่ออัปเดตการกำหนดค่า

   tsm stop

   tsm topology external-services gateway update -c tsig.json
   

   tsm start

6. บนอินสแตนซ์ทั้ง 2 รายการของเกตเวย์อิสระ: เมื่อ Tableau Server เริ่มต้นทำงาน ให้รีสตาร์ทกระบวนการ tsig-httpd

   sudo su - tableau-tsig

   systemctl --user restart tsig-httpd

   exit

7. ใน AWS EC2>กลุ่มเป้าหมาย: อัปเดตกลุ่มเป้าหมายเพื่อรวมอินสแตนซ์ EC2 ที่ใช้อินสแตนซ์ของเกตเวย์อิสระที่ 2

   เลือกกลุ่มเป้าหมายที่เพิ่งสร้างขึ้น แล้วคลิกแท็บเป้าหมาย 

   • คลิกแก้ไข
   • เลือกอินสแตนซ์ EC2 ของคอมพิวเตอร์เกตเวย์อิสระที่ 2 แล้วคลิกเพิ่มไปยังลงทะเบียนแล้ว จากนั้นคลิกบันทึก