Étape 1. Créer un compte AWS

Si vous n’avez pas encore de compte Amazon Web Services (AWS), vous pouvez créer un compte AWS(Le lien s’ouvre dans une nouvelle fenêtre) sur le site Web d’AWS.

Étape 2. Créer un compartiment Amazon S3 et configurer les autorisations

1. Créez un compartiment Amazon S3 pour recevoir les données de votre fichier journal. Pour plus d’information, consultez la section Créer un compartiment(Le lien s’ouvre dans une nouvelle fenêtre) sur le site Web d’AWS.

2. Configurez le compartiment Amazon S3 avec les paramètres suivants :

   1. Sous Propriété de l’objet, sélectionnez Listes ACL désactivées (recommandé). Vous avez ainsi l’assurance que le propriétaire du compartiment est le propriétaire de tous les objets qui y sont écrits.

   2. Sous Historique des révisions du compartiment, sélectionnez Activer. L’historique des révisions du compartiment doit être activée pour répliquer des objets.

   3. Sous Chiffrement par défaut, sélectionnez Activer.

   4. Choisissez AWS Key Management Service (SSE-KMS).

   5. Choisissez Entrer l’ARN de la clé AWS KMS.

   6. Cliquez sur le bouton Créer une clé qui s’affiche pour créer une nouvelle clé AWS Key Management Service (KMS).

      Remarque : les clés KMS multi-régions ne sont pas prises en charge.

   7. Sélectionnez le type de clé symétrique et chiffrez et déchiffrez l’utilisation de la clé.

   8. Attribuez un nom d’alias à la clé, puis cliquez jusqu’à la page de révision.

   9. Ajoutez cette instruction à la stratégie de clé Liste d’instructions. Utilisez la table Mappage des rôles par région pour trouver le rôle spécifique à votre région, puis remplacez HYPERFORCE-IAM-ROLE.

      {
          "Sid": "AllowTableauS3ReplicationSourceRoleToUseTheKey",
          "Effect": "Allow",
          "Principal": {
              "AWS": [
                  "HYPERFORCE-IAM-ROLE"
              ]
          },
          "Action": [
              "kms:GenerateDataKey",
              "kms:Encrypt"
          ],
          "Resource": "*"
      }

      Remarque : Cette instruction permet au rôle Hyperforce IAM de chiffrer les objets placés dans le compartiment Amazon S3. Pour plus d’informations, consultez la section Utilisation du chiffrement côté serveur avec les clés AWS KMS (SSE-KMS)(Le lien s’ouvre dans une nouvelle fenêtre) sur le site Web d’AWS.

      • "kms:GenerateDataKey" est utilisé pour générer une clé de données de manière à chiffrer les objets en double.

      • "kms:Encrypt" est utilisé pour chiffrer les objets en double créés dans le compartiment S3 cible.

      • "Ressource" : "*" accorde l’autorisation de la clé KMS uniquement au rôle de réplication et ne permet pas au rôle d’élever ses autorisations.

   10. Cliquez sur Terminer pour créer la clé KMS.

   11. Cliquez sur Créer un compartiment pour créer un compartiment Amazon S3.

3. Mettez à jour les autorisations sur la stratégie de compartiment Amazon S3.

1. Ouvrez le compartiment Amazon S3 et cliquez sur l’onglet Autorisations.

2. Localisez la section Stratégie de compartiment et cliquez sur Modifier.

3. Ajoutez cette instruction à la stratégie de compartiment Liste d’instructions.

   • Remplacez S3-BUCKET-NAME par le nom du compartiment.

   • Utilisez la table Mappage des rôles par région pour trouver le rôle spécifique à votre région, puis remplacez HYPERFORCE-IAM-ROLE.

   {
       "Sid": "TableauS3ReplicationRoleAccess",
       "Effect": "Allow",
       "Principal": {
           "AWS": [
               "HYPERFORCE-IAM-ROLE"
           ]
       },
       "Action": [
           "s3:ReplicateObject",
           "s3:ReplicateDelete"
       ],
       "Resource": [
           "arn:aws:s3:::S3-BUCKET-NAME",
           "arn:aws:s3:::S3-BUCKET-NAME/*"
       ]
   }

   Remarque : Cette instruction permet au rôle Hyperforce IAM de répliquer des objets dans le compartiment. Pour plus d’informations, consultez la section Octroi d’autorisations lorsque la source et les compartiments de destination appartiennent à des comptes AWS différents(Le lien s’ouvre dans une nouvelle fenêtre) sur le site Web AWS.

   • L’utilisation de « * » et « <path> /* » permet d’accéder à tous les préfixes du compartiment et du chemin spécifiés dans le compartiment.

   • Les autorisations "s3:ReplicateObject" et "s3:ReplicateDelete" sont les autorisations minimales requises pour répliquer des objets et supprimer des marqueurs avec succès.

4. Facultatif. Si votre compartiment de destination a une stratégie qui restreint l’accès par un point de terminaison Amazon Virtual Private Cloud (VPC), vous devez modifier la stratégie de compartiment en plus du TableauS3ReplicationRoleAccess que vous venez d’ajouter. Pour plus d’informations, consultez Comment puis-je autoriser uniquement des points de terminaison et des adresses IP spécifiques du VPC à accéder à mon compartiment Amazon S3?(Le lien s’ouvre dans une nouvelle fenêtre) sur le site Web d’AWS.

   Si la stratégie de compartiment actuelle contient une restriction VPC telle que :

   {
       "Sid": "Restricted VPC Access",
       "Effect": "Deny",
       "Principal": "*",
       "Action": "s3:*",
       "Resource": [
           "arn:aws:s3:::S3-BUCKET-NAME",
           "arn:aws:s3:::S3-BUCKET-NAME/*"
       ],
       "Condition": {
           "StringNotEquals": {
               "aws:SourceVpc": "vpc-<ID>"
           }
       }
   }

   Modifiez ensuite la liste « Conditions ». Utilisez la table Mappage des rôles par région pour trouver l’ID et le rôle spécifiques à votre région, puis remplacez HYPERFORCE-IAM-ROLE et HYPERFORCE-IAM-ROLE-ID.

   "StringNotLike": {
       "aws:userId": ["HYPERFORCE-IAM-ROLE-ID:*"]
   },
   "ArnNotLike": {
       "aws:PrincipalArn": "HYPERFORCE-IAM-ROLE"
   }

   La stratégie modifiée doit se présenter ainsi :

   {
       "Sid": "Restricted VPC Access",
       "Effect": "Deny",
       "Principal": "*",
       "Action": "s3:*",
       "Resource": [
           "arn:aws:s3:::S3-BUCKET-NAME",
           "arn:aws:s3:::S3-BUCKET-NAME/*"
       ],
       "Condition": {
           "StringNotLike": {
               "aws:userId": ["HYPERFORCE-IAM-ROLE-ID:*"]
           },
           "ArnNotLike": {
               "aws:PrincipalArn": "HYPERFORCE-IAM-ROLE"
           },
           "StringNotEquals": {
               "aws:SourceVpc": "vpc-<ID>"
           }
       }
   }

   Cette stratégie accorde explicitement le rôle Hyperforce IAM à ReplicateObject et ReplicateDelete. Cela exclut également le rôle de l’instruction de refus explicite existante du VPC.

5. Cliquez sur Enregistrer les modifications.

Vérifier la réplication du fichier de sécurité

1. Accédez au compartiment Amazon S3 cible et recherchez le dossier commençant par siteLuid (le reste du nom est l’identifiant unique du site).

2. Trouvez le fichier texte nommé SECURITY_VERIFICATION_FILE.txt .

3. Téléchargez et ouvrez le fichier texte.

4. Copiez le contenu du texte à l’intérieur du fichier.

5. Revenez à la page Paramètres et collez le contenu du texte dans le champ de saisie Contenu du fichier texte, puis cliquez sur Soumettre.

6. Si le contenu soumis est correct, l’état de la connexion passe à Activée. Le fichier journal d’activité est maintenant activé et les données commenceront à être répliquées dans le compartiment Amazon S3 cible.

7. Si le contenu soumis est incorrect, un message d’erreur s’affiche. Vérifiez que le contenu a été copié correctement sans caractères ni espaces supplémentaires.

Résolution des problèmes

Le fichier de vérification de sécurité n’apparaît pas?

• Le fichier peut prendre jusqu’à 15 minutes pour apparaître dans le compartiment Amazon S3 cible en raison des limitations d’Amazon S3.

  Si la connexion est dans l’état "En cours", cela signifie que la tentative de réplication du fichier est en cours. Pour plus d’information, consultez la section Résolution du problème de réplication(Le lien s’ouvre dans une nouvelle fenêtre) sur le site Web AWS.

• Si la connexion est dans l’état Échec, cela signifie que le fichier n’a pas pu être répliqué correctement.

  Vérifiez que les autorisations de la stratégie de compartiment Amazon S3 et de la stratégie de clé AWS Key Management Service (KMS) contiennent les instructions appropriées. Pour plus d’information, consultez les rubriques suivantes sur le site Web AWS :

  • Résolution du problème de réplication(Le lien s’ouvre dans une nouvelle fenêtre)
  • Configuration de la réplication lorsque les compartiments source et de destination appartiennent à des comptes différents(Le lien s’ouvre dans une nouvelle fenêtre)
  • J’ai configuré la réplication entre mes compartiments, mais les nouveaux objets ne se répliquent pas. Comment puis-je résoudre ce problème?(Le lien s’ouvre dans une nouvelle fenêtre)

Autres paramètres requis pour que les fichiers journaux atteignent le compartiment Amazon S3

• L’historique des révisions du compartiment est activée pour le compartiment Amazon S3 (sous Propriétés > Historique des révisions du compartiment).

• L’option Bloquer tous les accès publics est activée pour le compartiment Amazon S3 (sous Autorisations > Bloquer l’accès public (paramètres du compartiment)).

• Le compartiment Amazon S3 dispose des autorisations ACL suivantes uniquement pour le « propriétaire du compartiment » (sous Autorisations > Liste de contrôle d’accès (ACL)) :

  • Objets : liste, écriture

  • ACL du compartiment : lecture, écriture

• La stratégie d’autorisations de clé KMS contient l’instruction décrite à l’Étape 2. Créer un compartiment Amazon S3 et configurer les autorisations, étape 2. i. (sous Propriétés > Chiffrement par défaut, cliquez sur l’ARN sous ARN de la clé KMS d’AWS pour accéder à la stratégie de clé KMS).

• Le chiffrement par défaut est activé pour le compartiment Amazon S3 ainsi qu’une clé de compartiment (sous Propriétés > Chiffrement par défaut).

• La stratégie d’autorisations du compartiment Amazon S3 (sous Autorisations > Stratégie de compartiment) correspond exactement à celle des instructions. Assurez-vous d’avoir remplacé l’exemple de valeur "S3-BUCKET-NAME" par le compartiment Amazon S3 que vous venez de créer.

Changement de région AWS pour les sites des modules Europe - Irlande

Entre août 2024 et mars 2025, les sites Tableau Cloud ont été migrés vers Hyperforce(Le lien s’ouvre dans une nouvelle fenêtre) de Salesforce. Dans le cadre de la migration, les pods de la zone géographique Irlande ont été déplacés vers la zone géographique Allemagne. Si votre site était hébergé sur un pod de la zone géographique Irlande, vous devrez reconfigurer le fichier journal d’activité pour utiliser un compartiment AWS S3 dans la nouvelle zone géographique Allemagne.