Konfigurieren von verbundenen Apps mit OAuth 2.0-Vertrauensstellung

Als Administrator einer Tableau Cloud-Site können Sie einen externen Autorisierungsserver (External Authorization Server, EAS) registrieren, um mithilfe des OAuth 2.0-Standardprotokolls eine Vertrauensbeziehung zwischen Ihrer Tableau Cloud-Site und dem EAS herzustellen. Der Aufbau einer Vertrauensbeziehung ermöglicht Ihnen Folgendes:

Sie können Ihren Benutzern die Möglichkeit geben, über den Identitätsanbieter (Identity Provider, IdP), den Sie bereits für Ihre Tableau Cloud-Site konfiguriert haben, mittels einmaliger Anmeldung (Single Sign-On, SSO) auf Tableau-Inhalte zuzugreifen, die in Ihren externen Anwendungen eingebettet sind.
Sie können den Zugriff auf die Tableau-REST API im Namen der Benutzer programmgesteuert mithilfe eines JSON-Web-Tokens (JWT) autorisieren.

Wenn eingebettete Tableau-Inhalte in Ihre externe Anwendung geladen werden, wird ein standardmäßiges OAuth-Schema verwendet. Nach der erfolgreichen Anmeldung beim IdP sind Benutzer automatisch bei Tableau Cloud angemeldet. Führen Sie die unten aufgeführten Schritte durch, um Ihren EAS bei Ihrer Tableau Cloud-Site zu registrieren.

Wichtig:

Einige der in diesem Thema beschrieben Verfahren erfordern eine Konfiguration mit Software und Diensten von Drittanbietern. Wir haben uns nach Kräften bemüht, die Verfahren zur Aktivierung der EAS-Funktion in Tableau Server zu verifizieren. Software und Dienste von Drittanbietern können sich jedoch ändern oder in Ihrer Organisation anders ausfallen. Sollten Probleme auftreten, entnehmen Sie offizielle Konfigurationsdetails und Supportinformationen bitte der Dokumentation Ihrer Drittanbieter.
Wenn Ihre verbundene App in einem Container (z. B. eine EC2-Instanz) ausgeführt wird, müssen sowohl die Uhr des Containers als auch die des Hosts auf UTC eingestellt sein, damit das Sitzungs-Token gültig ist. Wenn eine der Uhren einen anderen Standard verwendet, wird der verbundenen App nicht vertraut.

Schritt 1: Bevor Sie beginnen

Um einen EAS bei Ihrer Tableau Cloud-Site zu registrieren, müssen Sie über einen EAS verfügen, der bereits konfiguriert ist. Außerdem muss der EAS ein gültiges JSON-Webtoken (JSON Web Token, JWT) senden, das die in der folgenden Tabelle aufgeführten registrierten Ansprüche und Header enthält.

Anspruch	Beschreibung oder erforderlicher Wert
"`kid`" (Schlüssel-ID)	Erforderlich (im Header). Eine eindeutige Schlüsselkennung des Identitätsanbieters.
"`iss`" (Issuer, Aussteller)	Erforderlich (im Header oder als Anspruch). Eindeutiger Aussteller-URI, in HTTPS, der die vertrauenswürdige verbundene App und ihren Signaturschlüssel identifiziert.
"`alg`" (Algorithm, Algorithmus)	Erforderlich (im Header). JWT-Signaturalgorithmus. Unterstützte Algorithmusnamen sind in der javadoc.io-Dokumentation auf der Seite Class JWSAlgorithm(Link wird in neuem Fenster geöffnet) aufgeführt.
"`sub`" (Subject, Antragsteller)	Benutzername (E-Mail-Adresse) des authentifizierten Tableau Cloud-Benutzers.
"`aud`" (Audience, Zielgruppe)	Der Wert muss sein: "`tableau:<site_luid>`" Um die Site-LUID zu erhalten, können Sie die Anmeldemethode der Tableau-REST-API verwenden oder die folgenden Schritte ausführen, um die Site-LUID zu kopieren. Hinweis: Bevor Sie die Site-ID kopieren können, müssen Sie einen EAS nach dem hier beschriebenen Verfahren registrieren. Wählen Sie Einstellungen > Verbundene Apps aus und wählen Sie dann die verbundene App Externer Autorisierungsserver aus. Klicken Sie auf die Schaltfläche Site-ID kopieren.
"`exp`" (Ablaufzeit)	Ein gültiges JWT darf nicht abgelaufen sein. Die Ablaufzeit (in UTC) des JWT muss innerhalb der maximalen Gültigkeitsdauer liegen, die 10 Minuten beträgt.
"`jti`" (JWT-ID)	Der JWT-ID-Anspruch stellt einen eindeutigen Bezeichner für das JWT bereit und unterscheidet zwischen Groß- und Kleinschreibung.
"`scp`" (Scope, Geltungsbereich)	Zu den unterstützten Werten für Einbettungs-Workflows gehören: "`tableau:views:embed`" "`tableau:views:embed_authoring`" "`tableau:metrics:embed`" Hinweise: Werte müssen als ein Listentyp übergeben werden. Bei `tableau:views:embed` berücksichtigt der Bereich die bereits in Tableau Cloud konfigurierten Benutzerberechtigungen und ermöglicht den Benutzern die Interaktion mit den Tools in der eingebetteten Ansicht, wenn diese in der ursprünglichen Ansicht verfügbar sind. Wir empfehlen, den Parameter für die Symbolleiste im Einbettungscode nicht zu verwenden. Weitere Informationen finden Sie weiter unten unter Bekannte Probleme (nur Einbettungs-Workflows). Informationen zu REST API-Autorisierungs-Workflows finden Sie unter REST API-Methoden, die JWT-Autorisierung unterstützen.

Hinweis: Die oben aufgeführten JWT-Ansprüche sind im Abschnitt Registered Claim Names(Link wird in neuem Fenster geöffnet) (Namen registrierter Ansprüche) in der von der IETF (Internet Engineering Task Force) vertriebenen Dokumentation dokumentiert.

Schritt 2: Registrieren Ihres EAS bei Tableau Cloud

Durch die Registrierung Ihres EAS bei Tableau Cloud stellen Sie eine Vertrauensbeziehung zwischen dem EAS und Ihrer Tableau Cloud-Site her. Das bedeutet, wenn Benutzer auf Tableau-Inhalte zugreifen, die in Ihre externe Anwendung eingebettet sind, werden sie umgeleitet, um sich beim IdP zu authentifizieren. Der EAS generiert das Authentifizierungstoken, das zur Überprüfung an Tableau Server übergeben wird. Nachdem die Vertrauensstellung überprüft wurde, wird Benutzern der Zugriff auf den eingebetteten Inhalt gewährt.

Hinweis: Einige EAS unterstützen die Option zum Anzeigen eines Dialogfelds, in dem die Benutzer um die Zustimmung gebeten werden, dass die Anwendung auf Tableau-Inhalte zugreifen darf. Um die beste Erfahrung für Ihre Benutzer zu gewährleisten, empfehlen wir Ihnen, Ihren EAS so zu konfigurieren, dass er auf die Anfrage der externen Anwendung automatisch im Namen der Benutzer die Zustimmung erteilt.

Melden Sie sich als Site-Administrator bei Tableau Cloud an.
Wählen Sie im linken Bereich Einstellungen > Verbundene Apps aus.
Klicken Sie auf die Schaltfläche mit dem Dropdown-Pfeil "Neue verbundene App" und wählen Sie OAuth 2.0-Vertrauensstellung aus.
Gehen Sie im Dialogfeld "Verbundene App erstellen" folgendermaßen vor:
1. Fügen Sie im Textfeld Aussteller-URL die Aussteller-URL des EAS ein.
2. Wählen Sie die Option Verbundene App aktivieren aus. Aus Sicherheitsgründen wird eine verbundene App beim Erstellen standardmäßig auf "Deaktiviert" gesetzt.
3. Wenn Sie fertig sind, klicken Sie auf die Schaltfläche Erstellen.
Nachdem die verbundene App erstellt wurde, kopieren Sie die Standort-ID der verbundenen App . Die Website-ID wird für den oben in Schritt 1 beschriebenen Anspruch „aud“ (Zielgruppe) des JWT verwendet.

Schritt 3: Nächste Schritte

Für Einbettungs-Workflows

Nachdem Sie Ihre Tableau Cloud-Site für die Verwendung Ihres EAS konfiguriert haben, müssen Sie Ihrer externen Anwendung Einbettungscode hinzufügen. Stellen Sie sicher, dass Sie das gültige JWT, das von Ihrem EAS generiert wurde (wie in Schritt 1 beschrieben), in die Webkomponente einschließen, die Ihre externe Anwendung aufruft.

Weitere Informationen zum Einbetten von Tableau-Inhalten finden Sie in einem oder beiden der folgenden Abschnitte:

Informationen zum Einbetten von Metriken finden Sie unter dem Thema Einbetten von Metriken in Webseiten(Link wird in neuem Fenster geöffnet) in der Tableau-Hilfe.
Betten Sie Tableau-Ansichten und -Metriken mithilfe der Tableau Embedding-API v3(Link wird in neuem Fenster geöffnet) ein.

Hinweis: Damit Benutzer beim Zugriff auf eingebettete Inhalte erfolgreich authentifiziert werden, müssen Browser so konfiguriert sein, dass sie Cookies von Drittanbietern zulassen.

Für REST API-Autorisierungs-Workflows

Nachdem das JWT konfiguriert wurde, müssen Sie das gültige JWT der REST API-Anmeldeanforderung für autorisierten Zugriff hinzufügen. Weitere Informationen finden Sie unter Zugriffsbereiche für verbundene Apps.

Bekannte Probleme (nur Einbettungs-Workflows)

Bei der Verwendung von verbundenen Apps gibt es einige bekannte Probleme, die in einer zukünftigen Version behoben werden.

Symbolleistenfeatures: Wenn für eingebettete Inhalte der Symbolleistenparameter definiert ist, funktionieren manche Symbolleistenfeatures nicht. Um dieses Problem zu umgehen, empfehlen wir Ihnen, den Symbolleistenparameter (wie im folgenden Beispiel gezeigt) auszublenden.
```
<tableau-viz id='tab-viz' src='https://online.tableau.com/t/<your_site>/...'
	toolbar='hidden'>
</tableau-viz>
```

Veröffentlichte Datenquellen: Veröffentlichte Datenquellen, für die festgelegt ist, dass Benutzer Datenbankanmeldeinformationen eingeben müssen, werden nicht angezeigt. Um dieses Problem zu umgehen, empfehlen wir, dass Datenquellenbesitzer stattdessen ihre eigenen Datenbankanmeldeinformationen einbetten (sofern möglich).

Problembehebung

Wenn eingebettete Inhalte in Ihrer externen Anwendung nicht angezeigt werden oder wenn die Tableau-REST API-Autorisierung fehlschlägt, können Sie die Entwicklertools eines Browsers verwenden, um Fehlercodes zu überprüfen und zu identifizieren, die möglicherweise mit dem in Ihrer Tableau Cloud -Site aktivierten EAS-Feature im Zusammenhang stehen.

In der folgenden Tabelle finden Sie die Beschreibungen der Fehlercodes und der möglichen Lösung.

Fehlercode	Zusammenfassung	Beschreibung	Mögliche Lösung oder Erklärung
5	SYSTEM_USER_NOT_FOUND	Tableau-Benutzer konnte nicht gefunden werden	Um dieses Problem zu beheben, überprüfen Sie, ob der Anspruchswert "`sub`" (Subjekt) im JWT der Benutzername (E-Mail-Adresse) des authentifizierten Tableau Cloud-Benutzers ist. Bei dem Wert wird die Groß-/Kleinschreibung berücksichtigt.
16	LOGIN_FAILED	Fehler beim Anmelden	Dieser Fehler wird meist durch eines der folgenden Anspruchsprobleme im JWT verursacht: Die Ablaufzeit "`exp`" (Expiration Time) überschreitet die standardmäßig maximale Gültigkeitsdauer. Um dieses Problem zu beheben, überprüfen Sie registrierte Ansprüche(Link wird in neuem Fenster geöffnet), die für ein gültiges JWT erforderlich sind, und stellen Sie sicher, dass der korrekte Wert 10 Minuten nicht überschreitet. "`sub`" (Subjekt) ruft einen unbekannten Benutzer auf. Um dieses Problem zu beheben, vergewissern Sie sich, dass der Wert "`sub`" der Benutzername (E-Mail-Adresse) des authentifizierten Tableau Cloud-Benutzers ist.
142	EXTERNAL_AUTHORIZATION_SERVER_NOT_FOUND	EAS nicht gefunden	Um dieses Problem zu beheben, überprüfen Sie, ob der richtige Aussteller aufgerufen wird.
143	EXTERNAL_AUTHORIZATION_SERVER_LIMIT_EXCEEDED	EAS-Limit überschritten	Die Site hat die maximal zulässige Anzahl (1) registrierter externer Autorisierungsserver (EAS) erreicht.
144	INVALID_ISSUER_URL	Ungültige Aussteller-URL	Die Aussteller-URL ist ungültig oder das Attribut "`iss`" (Issuer, Aussteller) fehlt im JWT.
149	EAS_INVALID_JWKS_URI	Fehlender JWKS-URI	Der JWKS-URI ist in den IdP-Metadaten nicht vorhanden oder der JWKS-URI ist in Tableau nicht konfiguriert. Um dieses Problem zu beheben, konfigurieren Sie einen gültigen JWKS-URI.
150	EAS_RETRIEVE_JWK_SOURCE_FAILED	Fehler beim Abrufen der Schlüsselquelle	Um dieses Problem zu beheben, überprüfen Sie, ob der JWKS-URI richtig konfiguriert ist.
151	EAS_RETRIEVE_METADATA_FAILED	Fehler beim Abrufen von Metadaten von issuerUrl	Um dieses Problem zu beheben, überprüfen Sie, ob der JWKS-URI richtig konfiguriert ist.
10081	COULD_NOT_RETRIEVE_IDP_METADATA	EAS-Metadaten-Endpunkt fehlt	Um dieses Problem zu beheben, überprüfen Sie, ob der EAS richtig konfiguriert ist und der richtige Aussteller aufgerufen wird.
10082	AUTHORIZATION_SERVER_ISSUER_NOT_SPECIFIED	Fehlender Aussteller	Um dieses Problem zu beheben, überprüfen Sie, ob der richtige Aussteller aufgerufen wird.
10083	BAD_JWT	Der JWT-Header enthält Probleme.	Im JWT-Header fehlen die Ansprüche "`kid`" (geheime ID) or "`clientId`" (Issuer, Aussteller). Um dieses Problem zu beheben, stellen Sie sicher, dass diese Informationen enthalten sind.
10084	JWT_PARSE_ERROR	JWT enthält Probleme	Überprüfen Sie Folgendes, um dieses Problem zu beheben: Ob der im JWT referenzierte Wert "`aud`" (Audience, Zielgruppe) den Wert "tableau" verwendet. Bei dem Wert wird die Groß-/Kleinschreibung berücksichtigt. Ob die Angaben "`aud`" (Audience, Zielgruppe) und "`sub`" (Subjekt) sind im JWT enthalten.
10085	COULD_NOT_FETCH_JWT_KEYS	JWT konnte Schlüssel nicht finden	Das Geheimnis konnte nicht gefunden werden. Um dieses Problem zu beheben, überprüfen Sie, ob der richtige Aussteller aufgerufen wird.
10087	BLOCKLISTED_JWS_ALGORITHM_USED_TO_SIGN	Es gibt ein Problem mit dem JWT-Signaturalgorithmus.	Um das Problem zu beheben, können Sie den Signaturalgorithmus entfernen.
10088	RSA_KEY_SIZE_INVALID	Ein Problem mit JWT-Signaturanforderungen liegt vor.	Um dieses Problem zu beheben, überprüfen Sie mit dem EAS oder IdP, dass das JWT mit einer RSA-Schlüsselgröße von 2.048 signiert ist.
10091	JTI_ALREADY_USED	Eindeutiges JWT erforderlich	Das JWT wurde bereits im Authentifizierungsprozess verwendet. Um dieses Problem zu beheben, muss der EAS oder IdP ein neues JWT generieren.
10094	MISSING_REQUIRED_JTI	Fehlende JWT-ID	Um dieses Problem zu beheben, stellen Sie sicher, dass die "`jti`" (JWT-ID) im JWT enthalten ist.
10095	EXTERNAL_AUTHZ_SERVER_DISABLED	EAS deaktiviert	Die verbundene App für das in der Site registrierte EAS ist deaktiviert.
10096	JWT_EXPIRATION_EXCEEDS_CONFIGURED_EXPIRATION_PERIOD		Die Ablaufzeit "`exp`" (ExpirationTime) überschreitet die standardmäßig maximale Gültigkeitsdauer. Um dieses Problem zu beheben, überprüfen Sie registrierte Ansprüche(Link wird in neuem Fenster geöffnet), die für ein gültiges JWT erforderlich sind, und stellen Sie sicher, dass der korrekte Wert 10 Minuten nicht überschreitet.
10097	SCOPES_MALFORMED	Probleme mit Geltungsbereichsansprüchen	Dieser Fehler kann auftreten, wenn der Anspruch "`scp`" (Scope) entweder im JWT fehlt oder nicht als Listentyp übergeben wird. Um dieses Problem zu beheben, überprüfen Sie, ob "`scp`" im JWT enthalten ist und als Listentyp übergeben wird. Hilfe zur Fehlerbehebung bei einem JWT finden Sie unter Debugger(Link wird in neuem Fenster geöffnet) auf der auth0-Site.
10098	JWT_UNSIGNED_OR_ENCRYPTED	Das JWT ist unsigniert oder verschlüsselt	Tableau unterstützt keine unsignierten oder verschlüsselten JWT.
10099	SCOPES_MISSING_IN_JWT	Anspruch auf fehlende Bereiche	Dem JWT fehlt der erforderliche Anspruch "`scp`" (Geltungsbereich). Um dieses Problem zu beheben, stellen Sie sicher, dass "`scp`" im JWT enthalten ist. Hilfe zur Fehlerbehebung bei einem JWT finden Sie unter Debugger(Link wird in neuem Fenster geöffnet) auf der auth0-Site.
10100	JTI_PERSISTENCE_FAILED	Unerwarteter JWT-ID-Fehler	Es ist ein unerwarteter Fehler mit der "`jti`" (JWT-ID) aufgetreten. Um dieses Problem zu beheben, muss ein neues JWT mit einem neuen "`jti`" generiert werden.

Zurück zum Anfang

Vielen Dank für Ihr Feedback!