Schritt 1:Erstellen eines AWS-Kontos

Wenn Sie noch kein AWS-Konto (Amazon Web Services) besitzen, können Sie sich auf der AWS-Website für AWS registrieren(Link wird in neuem Fenster geöffnet).

Schritt 2:Erstellen eines Amazon S3-Buckets und Einrichten von Berechtigungen

1. Erstellen Sie einen Amazon S3-Bucket, um Ihre Protokolldaten empfangen zu können.Weitere Informationen finden Sie unter Erstellen eines Buckets(Link wird in neuem Fenster geöffnet) auf der AWS-Website.

2. Konfigurieren Sie den Amazon S3-Bucket mit den folgenden Einstellungen:

   1. Wählen Sie unter Object Ownership (Objektbesitz) die Option Deaktivierte ACLs (empfohlen) aus.Diese Einstellung stellt sicher, dass der Bucket-Eigentümer der Eigentümer aller Objekte ist, die in ihn geschrieben werden.

   2. Wählen Sie unter Bucket-Versionierung die Option Aktivieren aus.Die Bucket-Versionierung muss aktiviert sein, um Objekte zu replizieren.

   3. Wählen Sie unter Standardverschlüsselung die Einstellung Aktivieren aus.

   4. Wählen Sie AWS Key Management Service (SSE-KMS) aus.

   5. Wählen Sie AWS KMS-Schlüssel-ARN eingeben aus.

   6. Klicken Sie auf die Schaltfläche Schlüssel erstellen, die angezeigt wird, um einen neuen AWS KMS-Schlüssel zu erstellen.

      Hinweis: KMS-Schlüssel für mehrere Regionen werden nicht unterstützt.

   7. Wählen Sie den Typ Symmetrischer Schlüssel und Schlüsselnutzung verschlüsseln und entschlüsseln aus.

   8. Benennen Sie den Schlüssel mit einem Alias und klicken Sie sich dann bis auf die Seite Überprüfen durch.

   9. Fügen Sie diese Anweisung zur Anweisungsliste der Schlüsselrichtlinie hinzu.Verwenden Sie die Tabelle Rollenzuordnung nach Region, um Ihre regionsspezifische Rolle zu finden, und ersetzen Sie dann HYPERFORCE-IAM-ROLE.

      {
          "Sid": "AllowTableauS3ReplicationSourceRoleToUseTheKey",
          "Effect": "Allow",
          "Principal": {
              "AWS": [
                  "HYPERFORCE-IAM-ROLE"
              ]
          },
          "Action": [
              "kms:GenerateDataKey",
              "kms:Encrypt"
          ],
          "Resource": "*"
      }

      Hinweis: Diese Anweisung erlaubt es der Hyperforce-IAM-Rolle, die Objekte zu verschlüsseln, die im Amazon S3-Bucket abgelegt werden.Weitere Informationen finden Sie auf der AWS-Website unter Verwenden der serverseitigen Verschlüsselung mit AWS KMS Schlüssel () SSE-KMS(Link wird in neuem Fenster geöffnet).

      • "kms:GenerateDataKey" wird verwendet, um einen Datenschlüssel zum Verschlüsseln von Objektrepliken zu generieren.

      • "kms:Encrypt" wird verwendet, um die im S3-Ziel-Bucket erstellten Objektrepliken zu verschlüsseln.

      • "Resource: "*"" gewährt der Replikationsrolle die Berechtigung nur für den KMS-Schlüssel und erlaubt es der Rolle nicht, ihre Berechtigungen zu erhöhen.

   10. Klicken Sie auf Fertigstellen stellen, um den KMS-Schlüssel zu erstellen.

   11. Klicken Sie auf Bucket erstellen, um den Amazon S3-Bucket zu erstellen.

3. Aktualisieren Sie Berechtigungen in der Amazon S3-Bucket-Richtlinie.

1. Öffnen Sie den Amazon S3-Bucket und klicken Sie auf die Registerkarte Berechtigungen.

2. Suchen Sie den Abschnitt Bucket-Richtlinie und klicken Sie auf Bearbeiten.

3. Fügen Sie diese Anweisung zur Anweisungsliste der Bucket-Richtlinie hinzu.

   • Ersetzen Sie S3-BUCKET-NAME durch den Namen des Buckets.

   • Verwenden Sie die Tabelle Rollenzuordnung nach Region, um Ihre regionsspezifische Rolle zu finden, und ersetzen Sie dann HYPERFORCE-IAM-ROLE.

   {
       "Sid": "TableauS3ReplicationRoleAccess",
       "Effect": "Allow",
       "Principal": {
           "AWS": [
               "HYPERFORCE-IAM-ROLE"
           ]
       },
       "Action": [
           "s3:ReplicateObject",
           "s3:ReplicateDelete"
       ],
       "Resource": [
           "arn:aws:s3:::S3-BUCKET-NAME",
           "arn:aws:s3:::S3-BUCKET-NAME/*"
       ]
   }

   Hinweis: Diese Anweisung erlaubt es der Hyperforce-IAM-Rolle, Objekte in den Bucket zu replizieren.Weitere Informationen finden Sie unter Erteilen von Berechtigungen, wenn der Quell- und der Ziel-Bucket unterschiedlichen AWS-Konten gehören(Link wird in neuem Fenster geöffnet) auf der AWS-Website.

   • Mit „*“ und „<Pfad>/*“ wird Zugriff auf alle Präfixe in dem angegebenen Bucket bzw. dem Pfad im Bucket gewährt.

   • Die Berechtigungen "s3:ReplicateObject" und "s3:ReplicateDelete" sind die erforderlichen Mindestberechtigungen, um Objekte erfolgreich zu replizieren und Markierungen zu löschen.

4. Optional.Wenn Ihr Ziel-Bucket über eine Richtlinie verfügt, die den Zugriff über einen Amazon Virtual Private Cloud (VPC)-Endpunkt einschränkt, müssen Sie die Bucket-Richtlinie zusätzlich zu dem TableauS3ReplicationRoleAccess ändern, den Sie gerade hinzugefügt haben.Weitere Informationen finden Sie unter Wie erlaube ich nur bestimmten VPC-Endpunkten oder IP-Adressen den Zugriff auf meinen Amazon S3-Bucket?(Link wird in neuem Fenster geöffnet) auf der AWS-Website.

   Wenn die aktuelle Bucket-Richtlinie eine VPC-Einschränkung wie diese enthält:

   {
       "Sid": "Restricted VPC Access",
       "Effect": "Deny",
       "Principal": "*",
       "Action": "s3:*",
       "Resource": [
           "arn:aws:s3:::S3-BUCKET-NAME",
           "arn:aws:s3:::S3-BUCKET-NAME/*"
       ],
       "Condition": {
           "StringNotEquals": {
               "aws:SourceVpc": "vpc-<ID>"
           }
       }
   }

   Bearbeiten Sie dann die Liste „Condition“ (Bedingung).Verwenden Sie die Tabelle Rollenzuordnung nach Region, um Ihre regionsspezifische Rolle und Rollen-ID zu finden, und ersetzen Sie dann HYPERFORCE-IAM-ROLE und HYPERFORCE-IAM-ROLE-ID.

   "StringNotLike": {
       "aws:userId": ["HYPERFORCE-IAM-ROLE-ID:*"]
   },
   "ArnNotLike": {
       "aws:PrincipalArn": "HYPERFORCE-IAM-ROLE"
   }

   Die bearbeitete Richtlinie sollte folgendermaßen aussehen:

   {
       "Sid": "Restricted VPC Access",
       "Effect": "Deny",
       "Principal": "*",
       "Action": "s3:*",
       "Resource": [
           "arn:aws:s3:::S3-BUCKET-NAME",
           "arn:aws:s3:::S3-BUCKET-NAME/*"
       ],
       "Condition": {
           "StringNotLike": {
               "aws:userId": ["HYPERFORCE-IAM-ROLE-ID:*"]
           },
           "ArnNotLike": {
               "aws:PrincipalArn": "HYPERFORCE-IAM-ROLE"
           },
           "StringNotEquals": {
               "aws:SourceVpc": "vpc-<ID>"
           }
       }
   }

   Diese Richtlinie erlaubt der Hyperforce-IAM-Rolle ausdrücklich „ReplicateObject“ und „ReplicateDelete“.Außerdem schließt sie die Rolle aus der bestehenden expliziten VPC-Deny-Anweisung aus.

5. Klicken Sie auf Änderungen speichern.

Überprüfen der Replikation der Sicherheitsdatei

1. Wechseln Sie in den Amazon S3-Ziel-Bucket und suchen Sie den Ordner, der mit siteLuid beginnt (der Rest des Namens ist die eindeutige ID der Site).

2. Suchen Sie die Textdatei mit dem Namen SECURITY_VERIFICATION_FILE.txt.

3. Laden Sie die Textdatei herunter und öffnen Sie sie.

4. Kopieren Sie den in der Datei befindlichen Textinhalt.

5. Kehren Sie auf die Seite Einstellungen zurück und fügen Sie den Textinhalt in das Eingabefeld Inhalt der Textdatei ein. Klicken Sie dann auf Absenden.

6. Wenn der übermittelte Inhalt korrekt ist, ändert sich der Verbindungsstatus in Aktiv.Das Aktivitätsprotokoll ist jetzt aktiviert und Daten werden in den Amazon S3-Ziel-Bucket repliziert.

7. Wenn der übermittelte Inhalt nicht korrekt ist, wird eine Fehlermeldung angezeigt.Überprüfen Sie, ob der Inhalt korrekt kopiert wurde, ohne zusätzliche Zeichen oder Leerzeichen.

Problembehebung

Die Sicherheitsüberprüfungsdatei wird nicht angezeigt?

• Aufgrund von Amazon S3-Einschränkungen kann es bis zu 15 Minuten dauern, bis die Datei im Amazon S3-Ziel-Bucket angezeigt wird.

  Wenn der Verbindungsstatus "Wird ausgeführt" lautet, wird immer noch versucht, die Datei zu replizieren.Weitere Informationen finden Sie auf der AWS-Website unter Fehlerbehebung bei einer Replikation(Link wird in neuem Fenster geöffnet).

• Der Verbindungsstatus Fehlgeschlagen bedeutet, dass die Datei nicht erfolgreich repliziert werden konnte.

  Überprüfen Sie, ob die Berechtigungen in der Amazon S3-Bucket-Richtlinie und in der AWS KMS-Schlüssel-Richtlinie (Key Management Service) die entsprechenden Anweisungen enthalten.Weitere Informationen finden Sie auf der AWS-Website in den folgenden Themen:

  • Fehlerbehebung bei einer Replikation(Link wird in neuem Fenster geöffnet)
  • Konfigurieren der Replikation, wenn sich Quell- und Ziel-Buckets im Eigentum verschiedener Konten befinden(Link wird in neuem Fenster geöffnet)
  • I set up replication between my buckets, but new objects aren’t replicating.How can I troubleshoot this? (Ich habe die Replikation zwischen meinen Buckets eingerichtet, aber neue Objekte werden nicht repliziert. Wie kann ich das beheben?)(Link wird in neuem Fenster geöffnet)

Andere Einstellungen, die erforderlich sind, damit Protokolldateien den Amazon S3-Bucket erreichen

• Für den Amazon S3-Bucket ist die Bucket-Versionierung aktiviert (unter Properties > Bucket Versioning).

• Für den Amazon S3-Bucket ist Allen öffentlichen Zugriff blockieren aktiviert (unter Permissions > Block public access (bucket settings)).

• Der Amazon S3-Bucket hat die folgenden ACL-Berechtigungen nur für "Bucket-Besitzer" (unter Berechtigungen > Zugriffssteuerungsliste (ACL)):

  • Objekte: Auflisten, Schreiben

  • Bucket-ACL: Lesen, Schreiben

• Die KMS-Schlüsselberechtigungsrichtlinie enthält die Anweisung in Schritt 2:Erstellen eines Amazon S3-Buckets und Einrichten von Berechtigungen, Schritt 2.i. (Klicken Sie unter Eigenschaften > Standardverschlüsselung auf den ARN unter AWS KMS Key ARN, um zur KMS-Schlüsselrichtlinie zu gelangen).

• Für den Amazon S3-Bucket ist die Standardverschlüsselung und der Bucket-Schlüssel aktiviert (unter Eigenschaften > Standardverschlüsselung).

• Die Amazon S3-Bucket-Berechtigungsrichtlinie (unter Berechtigungen > Bucket-Richtlinie) stimmt genau mit der Richtlinie in der Anleitung überein.Stellen Sie sicher, dass Sie den Beispielwert "S3-BUCKET-NAME" durch den soeben erstellten Amazon S3-Bucket ersetzt haben.

Änderung der AWS-Region für Sites in „Europa – Irland“-Pods

Zwischen August 2024 und März 2025 wurden Tableau Cloud-Sites zu Hyperforce(Link wird in neuem Fenster geöffnet) von Salesforce migriert.Im Rahmen der Migration werden Pods aus der Region „Irland“ in die Region „Deutschland“ verlegt.Wenn sich Ihre Site in einem Pod in der Region „Irland“ befunden hat, müssen Sie das Aktivitätsprotokoll so umkonfigurieren, dass ein AWS S3-Bucket in der neuen Region („Deutschland“) verwendet wird.