Tableau Cloud-Hilfe

Schritt 1: Erstellen eines AWS-Kontos

Wenn Sie noch kein AWS-Konto (Amazon Web Services) besitzen, können Sie sich auf der AWS-Website für AWS registrieren(Link wird in neuem Fenster geöffnet).

Schritt 2: Erstellen eines Amazon S3-Buckets und Einrichten von Berechtigungen

1. Erstellen Sie einen Amazon S3-Bucket, um Ihre Protokolldaten empfangen zu können. Weitere Informationen finden Sie unter Erstellen eines Buckets(Link wird in neuem Fenster geöffnet) auf der AWS-Website.

2. Konfigurieren Sie den Amazon S3-Bucket mit den folgenden Einstellungen:

   1. Wählen Sie unter Object Ownership (Objektbesitz) die Option Deaktivierte ACLs (empfohlen) aus. Diese Einstellung stellt sicher, dass der Bucket-Eigentümer der Eigentümer aller Objekte ist, die in ihn geschrieben werden.

   2. Wählen Sie unter Bucket-Versionierung die Option Aktivieren aus. Die Bucket-Versionierung muss aktiviert sein, um Objekte zu replizieren.

   3. Wählen Sie unter Standardverschlüsselung die Einstellung Aktivieren aus.

   4. Wählen Sie AWS Key Management Service (SSE-KMS) aus.

   5. Wählen Sie AWS KMS-Schlüssel-ARN eingeben aus.

   6. Klicken Sie auf die Schaltfläche Schlüssel erstellen, die angezeigt wird, um einen neuen AWS KMS-Schlüssel zu erstellen.

      Hinweis: KMS-Schlüssel für mehrere Regionen werden nicht unterstützt.

   7. Wählen Sie den Typ Symmetrischer Schlüssel und Schlüsselnutzung verschlüsseln und entschlüsseln aus.

   8. Benennen Sie den Schlüssel mit einem Alias und klicken Sie sich dann bis auf die Seite Überprüfen durch.

   9. Fügen Sie die folgende Anweisung zur Anweisungsliste innerhalb der Schlüsselrichtlinie hinzu, um Tableau Zugriff zum Verschlüsseln von Objekten im S3-Bucket zu gewähren.

      Hinweis: Diese Anweisung erlaubt es der Tableau-IAM-Rolle, die im Amazon S3-Bucket abgelegten Objekte zu verschlüsseln. "kms:GenerateDataKey" wird verwendet, um einen Datenschlüssel zum Verschlüsseln von Objektrepliken zu generieren. "kms:Encrypt" wird verwendet, um die im S3-Ziel-Bucket erstellten Objektrepliken zu verschlüsseln. "Resource: "*"" gewährt der Replikationsrolle die Berechtigung nur für den KMS-Schlüssel und erlaubt es der Rolle nicht, ihre Berechtigungen zu erhöhen. Weitere Informationen finden Sie auf der AWS-Website unter Schützen von Daten durch serverseitige Verschlüsselung mit AWS Key Management Service (SSE-KMS)(Link wird in neuem Fenster geöffnet).

      {
      "Sid": "AllowTableauS3ReplicationSourceRoleToUseTheKey",
      "Effect": "Allow",
      "Principal": {
      "AWS": "arn:aws:iam::061095916136:role/prod-replication-rule-role"
      },
      "Action": [
      "kms:GenerateDataKey",
      "kms:Encrypt"
      ],
      "Resource": "*"
      }

   10. Klicken Sie auf Fertigstellen stellen, um den KMS-Schlüssel zu erstellen.

   11. Klicken Sie auf Bucket erstellen, um den Amazon S3-Bucket zu erstellen.

3. Aktualisieren Sie Berechtigungen in der Amazon S3-Bucket-Richtlinie.

1. Öffnen Sie den Amazon S3-Bucket und klicken Sie auf die Registerkarte Berechtigungen.

2. Suchen Sie den Abschnitt Bucket-Richtlinie und klicken Sie auf Bearbeiten.

3. Fügen Sie der Anweisungsliste in der Bucket-Richtlinie Folgendes hinzu. Ersetzen Sie S3-BUCKET-NAME durch den Namen des Buckets.

   Hinweis: Diese Anweisung erlaubt es der Tableau-IAM-Rolle, Objekte in den Bucket zu replizieren. Mit "*" und "<Pfad>/*" wird Zugriff auf alle Präfixe im angegebenen Bucket bzw. Pfad im Bucket gewährt. Die Berechtigungen "s3:ReplicateObject" und "s3:ReplicateDelete" sind die erforderlichen Mindestberechtigungen, um Objekte erfolgreich zu replizieren und Markierungen zu löschen. Informationen dazu erhalten Sie auf der AWS-Website unter Erteilen von Berechtigungen, wenn sich Quell- und Ziel-Buckets im Besitz verschiedener AWS-Konten befinden(Link wird in neuem Fenster geöffnet).

{
"Sid": "TableauS3ReplicationRoleAccess",
"Effect": "Allow",
"Principal": {
"AWS":
"arn:aws:iam::061095916136:role/prod-replication-rule-role"
},
"Action": [
"s3:ReplicateObject",
"s3:ReplicateDelete"
],
"Resource": [
"arn:aws:s3:::S3-BUCKET-NAME",
"arn:aws:s3:::S3-BUCKET-NAME/*"
]
}

4. Optional. Wenn Ihr Ziel-Bucket über eine Richtlinie verfügt, die den Zugriff über einen Amazon Virtual Private Cloud (VPC)-Endpunkt einschränkt, müssen Sie die Bucket-Richtlinie zusätzlich zu dem TableauS3ReplicationRoleAccess ändern, den Sie gerade hinzugefügt haben. Weitere Informationen finden Sie unter Wie kann ich den Zugriff auf meinen Amazon S3-Bucket mithilfe bestimmter VPC-Endpunkte oder IP-Adressen einschränken?(Link wird in neuem Fenster geöffnet) auf der AWS-Website.

   Wenn die aktuelle Bucket-Richtlinie eine VPC-Einschränkung wie diese enthält:

   {
   "Sid": "Restricted VPC Access",
   "Effect": "Deny",
   "Principal": "*",
   "Action": "s3:",
   "Resource": [
   "arn:aws:s3:::<S3-BUCKET-NAME>",
   "arn:aws:s3:::<S3-BUCKET-NAME>/*"
   ],
   "Condition": {
   "StringNotEquals": {
   "aws:SourceVpc": "vpc-<ID>"
   }
   }
   }

   Bearbeiten Sie dann die Liste "Bedingung", um Folgendes aufzunehmen:

   "StringNotLike": {
   "aws:userId": ["AROAQ4OMZWJUBZG3DRFW5:*"]
   }

   Hinweis: Sie müssen die Rollen-ID "AROAQ4OMZWJUBZG3DRFW5" für die Tableau-IAM-Rolle verwenden.

   Die bearbeitete Richtlinie sollte folgendermaßen aussehen:

   {
   "Sid": "Restricted VPC Access",
   "Effect": "Deny",
   "Principal": "*",
   "Action": "s3:",
   "Resource": [
   "arn:aws:s3:::<S3-BUCKET-NAME>",
   "arn:aws:s3:::<S3-BUCKET-NAME>/*"
   ],
   "Condition": {
   "StringNotLike": {
   "aws:userId": ["AROAQ4OMZWJUBZG3DRFW5:*"]
   },
   "StringNotEquals": {
   "aws:SourceVpc": "vpc-<ID>"
   }
   }
   }

   Diese Richtlinie lässt ausdrücklich die Tableau-IAM-Rolle ReplicateObject und ReplicateDelete zu und schließt die Rolle zusätzlich aus der bestehenden expliziten VPC-Deny-Anweisung aus.

5. Klicken Sie auf Änderungen speichern.

Überprüfen der Replikation der Sicherheitsdatei

1. Wechseln Sie in den Amazon S3-Ziel-Bucket und suchen Sie den Ordner, der mit siteLuid beginnt (der Rest des Namens ist die eindeutige ID der Site).

2. Suchen Sie die Textdatei mit dem Namen SECURITY_VERIFICATION_FILE.txt.

3. Laden Sie die Textdatei herunter und öffnen Sie sie.

4. Kopieren Sie den in der Datei befindlichen Textinhalt.

5. Kehren Sie auf die Seite Einstellungen zurück und fügen Sie den Textinhalt in das Eingabefeld Inhalt der Textdatei ein. Klicken Sie dann auf Absenden.

6. Wenn der übermittelte Inhalt korrekt ist, ändert sich der Verbindungsstatus in Aktiv. Das Aktivitätsprotokoll ist jetzt aktiviert und Daten werden in den Amazon S3-Ziel-Bucket repliziert.

7. Wenn der übermittelte Inhalt nicht korrekt ist, wird eine Fehlermeldung angezeigt. Überprüfen Sie, ob der Inhalt korrekt kopiert wurde, ohne zusätzliche Zeichen oder Leerzeichen.

Problembehebung

Die Sicherheitsüberprüfungsdatei wird nicht angezeigt?

• Aufgrund von Amazon S3-Einschränkungen kann es bis zu 15 Minuten dauern, bis die Datei im Amazon S3-Ziel-Bucket angezeigt wird.

  Wenn der Verbindungsstatus "Wird ausgeführt" lautet, wird immer noch versucht, die Datei zu replizieren. Weitere Informationen finden Sie auf der AWS-Website unter Fehlerbehebung bei einer Replikation(Link wird in neuem Fenster geöffnet).

• Der Verbindungsstatus Fehlgeschlagen bedeutet, dass die Datei nicht erfolgreich repliziert werden konnte.

  Überprüfen Sie, ob die Berechtigungen in der Amazon S3-Bucket-Richtlinie und in der AWS KMS-Schlüssel-Richtlinie (Key Management Service) die entsprechenden Anweisungen enthalten. Weitere Informationen finden Sie auf der AWS-Website in den folgenden Themen:

  • Fehlerbehebung bei einer Replikation(Link wird in neuem Fenster geöffnet)
  • Konfigurieren der Replikation, wenn sich Quell- und Ziel-Buckets im Eigentum verschiedener Konten befinden(Link wird in neuem Fenster geöffnet)
  • I set up replication between my buckets, but new objects aren’t replicating. How can I troubleshoot this? (Ich habe die Replikation zwischen meinen Buckets eingerichtet, aber neue Objekte werden nicht repliziert. Wie kann ich das beheben?)(Link wird in neuem Fenster geöffnet)

Andere Einstellungen, die erforderlich sind, damit Protokolldateien den Amazon S3-Bucket erreichen

• Für den Amazon S3-Bucket ist die Bucket-Versionierung aktiviert (unter Properties > Bucket Versioning).

• Für den Amazon S3-Bucket ist Allen öffentlichen Zugriff blockieren aktiviert (unter Permissions > Block public access (bucket settings)).

• Der Amazon S3-Bucket hat die folgenden ACL-Berechtigungen nur für "Bucket-Besitzer" (unter Berechtigungen > Zugriffssteuerungsliste (ACL)):

  • Objekte: Auflisten, Schreiben

  • Bucket-ACL: Lesen, Schreiben

• Die KMS-Schlüsselberechtigungsrichtlinie enthält die Anweisung in Schritt 2: Erstellen eines Amazon S3-Buckets und Einrichten von Berechtigungen, Schritt 2.i. (Klicken Sie unter Eigenschaften > Standardverschlüsselung auf den ARN unter AWS KMS Key ARN, um zur KMS-Schlüsselrichtlinie zu gelangen).

• Für den Amazon S3-Bucket ist die Standardverschlüsselung und der Bucket-Schlüssel aktiviert (unter Eigenschaften > Standardverschlüsselung).

• Die Amazon S3-Bucket-Berechtigungsrichtlinie (unter Berechtigungen > Bucket-Richtlinie) stimmt genau mit der Richtlinie in der Anleitung überein. Stellen Sie sicher, dass Sie den Beispielwert "S3-BUCKET-NAME" durch den soeben erstellten Amazon S3-Bucket ersetzt haben.