Paso 1:Crear una cuenta de AWS

Si aún no tiene una cuenta de Amazon Web Services (AWS), puede registrarse para obtener una cuenta de AWS(El enlace se abre en una ventana nueva) en el sitio web de AWS.

Paso 2:Crear un depósito de Amazon S3 y configurar permisos

1. Cree un depósito de Amazon S3 para recibir sus datos de registro.Para obtener más información, consulte Crear un depósito(El enlace se abre en una ventana nueva) en el sitio web de AWS.

2. Configure el depósito de Amazon S3 con la siguiente configuración:

   1. En Propiedad del objeto, seleccione ACL deshabilitadas (recomendado).Esto garantiza que el propietario del depósito sea el propietario de todos los objetos escritos en él.

   2. En Control de versiones del depósito, seleccione Habilitar.El control de versiones del depósito debe estar habilitado para replicar objetos.

   3. En Cifrado predeterminado, seleccione Habilitar.

   4. Elija Servicio de administración de claves de AWS (SSE-KMS).

   5. Elija Indicar el ARN de la clave de AWS KMS.

   6. Haga clic en el botón Crear clave que aparece para crear una nueva clave de AWS Key Management Service (KMS).

      Nota: No se admiten las claves multirregionales de KMS.

   7. Seleccione el tipo Clave simétrica y Uso de la clave de cifrado y descifrado.

   8. Nombre la clave con un alias y luego haga clic hasta la página Revisar.

   9. Agregue esta declaración a la lista de declaraciones de la directiva de claves.Utilice la tabla Asignación de roles por región para encontrar su rol específico de región y luego reemplace HYPERFORCE-IAM-ROLE.

      {
          "Sid": "AllowTableauS3ReplicationSourceRoleToUseTheKey",
          "Effect": "Allow",
          "Principal": {
              "AWS": [
                  "HYPERFORCE-IAM-ROLE"
              ]
          },
          "Action": [
              "kms:GenerateDataKey",
              "kms:Encrypt"
          ],
          "Resource": "*"
      }

      Nota: Esta declaración permite que el rol de IAM de Hyperforce cifre los objetos colocados en el bucket de Amazon S3.Para obtener más información, consulte Uso del cifrado del lado del servidor con claves de AWS KMS (SSE-KMS)(El enlace se abre en una ventana nueva) en el sitio web de AWS.

      • “kms:GenerateDataKey” se utiliza para generar una clave de datos para cifrar réplicas de objetos.

      • “kms:Encrypt” se usa para cifrar las réplicas de objetos creadas en el depósito S3 de destino.

      • “Recurso”: “*” otorga permiso para la clave KMS solo al rol de replicación y no permite que el rol eleve sus permisos.

   10. Haga clic en Finalizar para crear la clave KMS.

   11. Haga clic en Crear depósito para crear el depósito de Amazon S3.

3. Actualice los permisos en la directiva de depósito de Amazon S3.

1. Abra el depósito de Amazon S3 y haga clic en la pestaña Permisos.

2. Ubique la sección Directiva del depósito y haga clic en Editar.

3. Agregue esta declaración a la lista de declaraciones de la directiva del bucket.

   • Reemplace S3-BUCKET-NAME con el nombre del bucket.

   • Utilice la tabla Asignación de roles por región para encontrar su rol específico de región y luego reemplace HYPERFORCE-IAM-ROLE.

   {
       "Sid": "TableauS3ReplicationRoleAccess",
       "Effect": "Allow",
       "Principal": {
           "AWS": [
               "HYPERFORCE-IAM-ROLE"
           ]
       },
       "Action": [
           "s3:ReplicateObject",
           "s3:ReplicateDelete"
       ],
       "Resource": [
           "arn:aws:s3:::S3-BUCKET-NAME",
           "arn:aws:s3:::S3-BUCKET-NAME/*"
       ]
   }

   Nota: Esta declaración permite que el rol de IAM de Hyperforce replique objetos en el bucket.Para obtener más información, consulte Otorgar permisos cuando los buckets de origen y destino pertenecen a diferentes cuentas de AWS(El enlace se abre en una ventana nueva) en el sitio web de AWS.

   • Usando "*" y "<path> /*" otorga acceso a todos los prefijos en el bucket especificado y la ruta en el bucket, respectivamente.

   • Los permisos "s3:ReplicateObject" y "s3:ReplicateDelete" son los permisos mínimos necesarios para replicar objetos y eliminar marcadores correctamente.

4. Opcional.Si su depósito de destino tiene una directiva que restringe el acceso a través de un punto de enlace de Amazon Virtual Private Cloud (VPC), debe cambiar la directiva del depósito además de TableauS3ReplicationRoleAccess que acaba de agregar.Para obtener más información, consulte ¿Cómo permito que solo determinados puntos de enlace de la VPC o direcciones IP accedan a mi bucket de Amazon S3?(El enlace se abre en una ventana nueva) en el sitio web de AWS.

   Si la directiva de depósito actual contiene una restricción de VPC como esta:

   {
       "Sid": "Restricted VPC Access",
       "Effect": "Deny",
       "Principal": "*",
       "Action": "s3:*",
       "Resource": [
           "arn:aws:s3:::S3-BUCKET-NAME",
           "arn:aws:s3:::S3-BUCKET-NAME/*"
       ],
       "Condition": {
           "StringNotEquals": {
               "aws:SourceVpc": "vpc-<ID>"
           }
       }
   }

   Luego edite la lista de “Condición”.Utilice la tabla Asignación de roles por región para encontrar el rol y el ID de rol específicos de su región y, a continuación, reemplace HYPERFORCE-IAM-ROLE y HYPERFORCE-IAM-ROLE-ID.

   "StringNotLike": {
       "aws:userId": ["HYPERFORCE-IAM-ROLE-ID:*"]
   },
   "ArnNotLike": {
       "aws:PrincipalArn": "HYPERFORCE-IAM-ROLE"
   }

   La directiva editada debería parecerse a esto:

   {
       "Sid": "Restricted VPC Access",
       "Effect": "Deny",
       "Principal": "*",
       "Action": "s3:*",
       "Resource": [
           "arn:aws:s3:::S3-BUCKET-NAME",
           "arn:aws:s3:::S3-BUCKET-NAME/*"
       ],
       "Condition": {
           "StringNotLike": {
               "aws:userId": ["HYPERFORCE-IAM-ROLE-ID:*"]
           },
           "ArnNotLike": {
               "aws:PrincipalArn": "HYPERFORCE-IAM-ROLE"
           },
           "StringNotEquals": {
               "aws:SourceVpc": "vpc-<ID>"
           }
       }
   }

   Esta directiva permite explícitamente que el rol de IAM de Hyperforce sea ReplicateObject y ReplicateDelete.También excluye el rol de la declaración de denegación de VPC explícita existente.

5. Haga clic en Guardar cambios.

Verificar la replicación del archivo de seguridad

1. Vaya al depósito de destino de Amazon S3 y busque la carpeta que comienza con siteLuid (el resto del nombre es el identificador único del sitio).

2. Encuentre el archivo de texto llamado SECURITY_VERIFICATION_FILE.txt.

3. Descargue y abra el archivo de texto.

4. Copie el contenido de texto en el archivo.

5. Regrese a la página Configuración y pegue el contenido del texto en el campo de entrada Contenido del archivo de texto y luego haga clic en Enviar.

6. Si el contenido enviado es correcto, el estado de la conexión cambia a Activo.El registro de actividad ahora está habilitado y los datos comenzarán a replicarse en el depósito de Amazon S3 de destino.

7. Si el contenido enviado es incorrecto, se mostrará un mensaje de error.Compruebe que el contenido se haya copiado correctamente sin caracteres ni espacios adicionales.

Solución de problemas

¿No aparece el archivo de verificación de seguridad?

• El archivo podría tardar hasta 15 minutos en aparecer en el depósito de destino de Amazon S3 debido a las limitaciones de Amazon S3.

  Si el estado de la conexión dice "En progreso", el archivo todavía está intentando replicarse.Para obtener más información, consulte Resolución de problemas de replicación(El enlace se abre en una ventana nueva) en el sitio web de AWS.

• Un estado de conexión de Fallido significa que el archivo no se pudo replicar correctamente.

  Confirme que los permisos en la directiva de depósito de Amazon S3 y la directiva de claves de AWS Key Management Service (KMS) contienen las declaraciones adecuadas.Para obtener más información, consulte los siguientes temas en el sitio web de AWS.

  • Solución de problemas de replicación(El enlace se abre en una ventana nueva)
  • Configurar la replicación cuando los depósitos de origen y destino pertenecen a cuentas diferentes(El enlace se abre en una ventana nueva)
  • Configuré la replicación entre mis cubos, pero los objetos nuevos no se replican.¿Cómo puedo solucionar esto?(El enlace se abre en una ventana nueva)

Otras configuraciones que se requieren para que los archivos de registro lleguen al depósito de Amazon S3

• El depósito de Amazon S3 tiene habilitado el Control de versiones del depósito (en Propiedades > Control de versiones del depósito).

• El depósito de Amazon S3 tiene activado Bloquear todo el acceso público (en Permisos > Bloquear acceso público (configuración del depósito)).

• El depósito de Amazon S3 tiene los siguientes permisos de ACL solo para el "propietario del depósito" (en Permisos > Lista de control de acceso (ACL)):

  • Objetos: Listar, Escribir

  • ACL del depósito: lectura, escritura

• La directiva de permisos de claves de KMS contiene la declaración del Paso 2:Crear un depósito de Amazon S3 y configurar permisos, paso 2. i. (en Propiedades > Cifrado predeterminado, haga clic en el ARN debajo del ARN de la clave de AWS KMS para ir a la directiva de claves de KMS).

• El depósito de Amazon S3 tiene el cifrado predeterminado habilitado y la clave del depósito habilitada (en Propiedades > Cifrado predeterminado).

• La directiva de permisos del depósito de Amazon S3 (en Permisos > Directiva del depósito) coincide exactamente con la de las instrucciones.Asegúrese de haber reemplazado el valor de ejemplo "S3-BUCKET-NAME" con el depósito de Amazon S3 que acaba de crear.

Cambiar de región de AWS para sitios en pods de Europa a Irlanda

De agosto de 2024 a marzo de 2025, los sitios de Tableau Cloud se migraron a Salesforce Hyperforce(El enlace se abre en una ventana nueva).Como parte de la migración, los pods de la región de Irlanda se trasladaron a la región de Alemania.Si su sitio residía en un pod de Irlanda, deberá reconfigurar el Registro de actividad para usar un depósito de AWS S3 en la nueva región: Alemania.