Activer l’authentification SAML sur un site ou sur TCM
Cette rubrique explique comment activer SAML sur le site
Remarque : L’activation de l’authentification SAML pour TCM nécessite une configuration et une intégration d’application distinctes de celles de Tableau Cloud.
Cette rubrique part du principe que vous êtes déjà familier avec les informations des rubriques Authentification et Fonctionnement de SAML.
Informations de configuration spécifiques à l’IdP
Les étapes décrites dans les sections ci-après dans cette rubrique fournissent la procédure de base que vous pouvez utiliser avec la documentation de votre fournisseur d’identité pour configurer SAML pour votre Tableau Cloud site
Activer SAML
Pour Tableau Cloud
Connectez-vous à votre site Tableau Cloud en tant qu’administrateur de site, et sélectionnez Paramètres > Authentification.
Sur l’onglet Authentification, cliquez sur le bouton Nouvelle configuration, sélectionnez SAML dans la liste déroulante Authentification, puis entrez un nom pour la configuration.
Remarque : Il est impossible de renommer les configurations créées avant janvier 2025 (Tableau 2024.3).
Pour TCM
Dans TCM, procédez autrement comme suit :
Connectez-vous à TCM en tant qu’administrateur de nuage, et sélectionnez Paramètres > Authentification.
Cochez la case Activer une méthode d’authentification supplémentaire et sélectionnez SAML à partir du menu déroulant Authentification.
Cliquez sur la flèche déroulante Configuration (obligatoire).
Étapes de configuration SAML
Cette section vous guide à travers les étapes de configuration qui s’affichent dans l’onglet Authentification de la page Paramètres de Tableau Cloud
Remarque : Pour terminer ce processus,vous aurez également besoin de la documentation fournie par votre IdP. Cherchez des sujets traitant de la configuration ou de la définition d’un fournisseur de services en vue d’une connexion SAML, ou de l’ajout d’une application.
Accédez à votre fournisseur d’identité, connectez-vous au compte de votre fournisseur d’identité et utilisez les instructions disponibles dans la documentation de votre fournisseur d’identité pour télécharger les métadonnées de votre fournisseur d’identité. Les métadonnées du fournisseur d’identité permettent à Tableau Cloud
Pour l’étape 1, la documentation du fournisseur d’identité vous guidera également sur la manière de fournir des métadonnées à un fournisseur de services. Vous serez invité à télécharger un fichier de métadonnées SAML ou du code XML s’affichera. Si du code XML s’affiche, copiez et collez le code dans un nouveau fichier texte et enregistrez le fichier avec une extension .xml.
Pour Tableau Cloud, sur la page Nouvelle configuration de Tableau Cloud, importez le fichier de métadonnées (.xml) que vous avez téléchargé depuis le fournisseur d’identité, ou configuré manuellement à partir du fichier XML fourni.
Pour TCM, sur la page Authentification de TCM, importez le fichier de métadonnées (.xml) que vous avez téléchargé depuis le fournisseur d’identité, ou configuré manuellement à partir du fichier XML fourni.
Remarques :
- Après avoir téléversé les métadonnées du fournisseur d’identité, les deux champs ID d’entité du fournisseur d’identité et URL du service d’authentification unique du fournisseur d’identité se remplissent automatiquement.
- Si vous modifiez la configuration, vous devrez télécharger le fichier de métadonnées pour que Tableau puisse utiliser l’ID du bon fournisseur d’identité et l’URL du service SSO.
- Vous pouvez utiliser le bouton Effacer les métadonnées du fournisseur d’identité si vous devez téléverser un nouveau fichier de métadonnées.
Les attributs contiennent des données d’authentification, d’autorisation et autres renseignements sur un utilisateur.
Remarque : Tableau Cloud
Courriel : (Obligatoire) Saisissez le nom de l’attribut qui enregistre les noms d’utilisateur des utilisateurs (adresses de courriel).
Adresse de courriel : (Facultatif) Entrez le nom de l’attribut qui contient l’adresse de courriel que le fournisseur d’identité utilise pendant le processus d’authentification pour permettre aux utilisateurs de recevoir des notifications à une adresse de courriel autre que le nom d’utilisateur. L’attribut d’adresse de courriel est utilisé uniquement à des fins de notification et n’est pas utilisé pour la connexion.
Nom à afficher : (Facultatif mais recommandé) Certains IdP utilisent des attributs séparés pour les prénoms et noms, tandis que d’autres stockent le nom complet dans un seul attribut.
Sélectionnez le bouton qui correspond à la manière dont votre IdP stocke les noms. Par exemple, si le fournisseur d’identités associe le prénom et le nom dans un attribut, sélectionnez Nom à afficher, puis entrez le nom de l’attribut.
Remarque : S’applique uniquement à Tableau Cloud.
Sélectionnez la méthode selon laquelle les utilisateurs se connectent aux vues intégrées. Les options consistent à ouvrir une fenêtre contextuelle séparée affichant le formulaire de connexion de l’IdP ou à utiliser un cadre en ligne (iframe).
Important : Les trames en ligne pouvant être vulnérables aux attaques pardétournement de clic, les fournisseurs d’identité ne prennent pas tous en charge l’authentification par le biais d’une trame en ligne. Dans le cas d’une attaque par détournement de clic, l’intrus tente d’inciter les utilisateurs à cliquer ou à entrer un contenu. Il affiche la page d’attaque dans une couche transparente sur une page isolée. Dans le contexte de Tableau Cloud, un intrus pourrait tenter de capturer les informations d’identification d’un utilisateur ou d’inciter un utilisateur authentifié à modifier des paramètres. Pour plus d’informations, consultez Clickjacking(Le lien s’ouvre dans une nouvelle fenêtre) (Détournement de clic) sur le site Web OWASP (Open Web Application Security Project).
Si votre IdP ne prend pas en charge la connexion depuis un iframe, sélectionnez S’authentifier dans une fenêtre contextuelle séparée.
Pour créer une connexion SAML entre
Sélectionnez le bouton Exporter les métadonnées pour télécharger un fichier XML contenant l’ID d’entité SAML Tableau Cloud, l’URL de l’ACS (Assertion Consumer Service) et le certificat X.509.
Sélectionnez Télécharger le certificat si votre fournisseur d’identité attend les informations requises d’une manière différente. Par exemple, si vous êtes invité à saisir l’entité Tableau Cloud ID, ACS URL et le certificat X.509 dans des emplacements séparés.
Pour créer une connexion SAML entre Tableau Cloud et votre IdP, vous devez échanger les métadonnées requises entre les deux services. Pour obtenir des métadonnées de Tableau Cloud, suivez l’une des Méthode suivantes. Consultez la documentation de configuration SAML de l’IdP pour confirmer l’option correcte.
Sélectionnez le bouton Exporter les métadonnées pour télécharger un fichier XML contenant l’ID d’entité SAML Tableau Cloud, l’URL de l’ACS (Assertion Consumer Service) et le certificat X.509.
Sélectionnez Télécharger le certificat si votre fournisseur d’identité attend les informations requises d’une manière différente. Par exemple, si vous êtes invité à saisir l’entité Tableau Cloud ID, ACS URL et le certificat X.509 dans des emplacements séparés.
Pour l’étape 5, utilisez les instructions dans la documentation du fournisseur d’identité pour soumettre les métadonnées de TCM.
Pour l’étape 6, utilisez les instructions dans la documentation du fournisseur d’identité pour soumettre les métadonnées Tableau Cloud.
Nous vous recommandons fortement de tester la configuration SAML pour éviter tout scénario de verrouillage. Tester la connexion permet de s’assurer que vous avez configuré SAML correctement avant de modifier le type d’authentification de vos utilisateurs vers SAML. Pour tester la configuration avec succès, assurez-vous qu’il existe au moins un utilisateur avec lequel vous pouvez vous connecter et qui est déjà mis en service dans le fournisseur d’identité et ajouté à votre Tableau Cloud
Si vous ne parvenez pas à vous connecter à TCM, commencez par les étapes de dépannage suggérées sur la page Authentification. Si ces étapes ne résolvent pas le problème, consultez Résoudre les problèmes liés à SAML.
Nous vous recommandons fortement de tester la configuration SAML pour éviter tout scénario de verrouillage. Tester la connexion permet de s’assurer que vous avez configuré SAML correctement avant de modifier le type d’authentification de vos utilisateurs vers SAML. Pour tester la configuration avec succès, assurez-vous qu’il existe au moins un utilisateur avec lequel vous pouvez vous connecter et qui est déjà mis en service dans le fournisseur d’identité et ajouté à votre Tableau Cloud
Si vous ne parvenez pas à vous connecter à Tableau Cloud, commencez par les étapes de dépannage suggérées sur la page Nouvelle configuration. Si ces étapes ne résolvent pas le problème, consultez Résoudre les problèmes liés à SAML.
Sélectionnez des utilisateurs existants de Tableau Cloud
Lorsque vous ajoutez ou importez des utilisateurs, spécifiez également leur type d’authentification. Sur la page Utilisateurs, vous pouvez modifier le type d’authentification des utilisateurs à tout moment après leur ajout.
Pour plus d’informations, consultez l’un des articles suivants :
la rubrique Ajouter des utilisateurs à un site ou la rubrique Importer des utilisateurs pour Tableau Cloud
la rubrique Gérer les utilisateurs avec Tableau Cloud Manager pour TCM
Remarque : S’applique uniquement à Tableau Cloud.
Autoriser les utilisateurs à choisir leur type d’authentification
Lorsque vous sélectionnez cette option, seule une fenêtre contextuelle sera prise en charge. Dans cette fenêtre contextuelle, deux options de connexion apparaissent là où une vue est intégrée : un bouton de connexion qui utilise l’authentification SSO, et un lien permettant d’utiliser les identifiants Tableau comme alternative.
Conseil : Avec cette option, les utilisateurs ont besoin de savoir quelle option de connexion choisir. Dans le cadre de la notification que vous envoyez à vos utilisateurs après les avoir ajoutés au site d’authentification unique, faites-leur savoir quel type d’authentification utiliser pour divers scénarios d’authentification. Par exemple, les vues intégrées, Tableau Desktop, Tableau Bridge, Tableau Mobile, etc.
Tableau avec MFA
Cette option exige que les utilisateurs s’authentifient avec des authentifiants
Liste des configurations d’authentification
Lorsque vous sélectionnez une option de configuration spécifique, la manière dont les utilisateurs se connectent aux vues intégrées est déterminée par le paramètre que vous avez configuré à l’étape 6 ci-dessus pour la configuration désignée.
Utiliser l’authentification Tableau
Si un site
Si vous ne voulez plus qu’un fournisseur d’identité gère l’authentification ou pour exiger que tous les utilisateurs se connectent à l’aide de leurs identifiants
Si vous souhaitez laisser SAML activé pour certains utilisateurs seulement et demander aux autres de se connecter avec
Modifier le type d’authentification du site
Pour Tableau Cloud
Depuis janvier 2025 (Tableau 2024.3), vous pouvez activer plusieurs types et méthodes d’authentification sur un site. Pour modifier l’authentification que vous souhaitez rendre disponible sur le site, activez ou désactivez les configurations d’authentification.
Connectez-vous au site Tableau Cloud en tant qu’administrateur de site.
Sélectionnez Paramètres > Authentification.
Désactivez ou activez les configurations d’authentification pour le site en cliquant sur le menu Actions et en sélectionnant Désactiver ou Activer.
Après désactivation de la configuration SAML, les métadonnées et les informations du fournisseur d’identité sont préservées. De cette manière, si vous voulez la réactiver, vous n’avez pas besoin de paramétrer à nouveau la connexion entre SAML et le fournisseur d’identité.
Pour TCM
Connectez-vous à TCM en tant qu’administrateur de nuage.
Sélectionnez Paramètres > Authentification.
Décochez la caseActiver une méthode d’authentification supplémentaire.
Mettre à jour le certificat SAML
Le certificat utilisé pour les métadonnées du site Tableau est fourni par Tableau et n’est pas configurable. Pour mettre à jour le certificat pour SAML , vous devez téléverser un nouveau certificat sur votre fournisseur d’identités et rééchanger les métadonnées avec Tableau Cloud.
Pour Tableau Cloud
Connectez-vous au site en tant qu’administrateur de site, et sélectionnez Paramètres > Authentification.
Sous Types d’authentification, accédez à la configuration SAML que vous souhaitez mettre à jour, cliquez sur le menu Actions et sélectionnez Modifier.
Ouvrez un nouvel onglet ou une nouvelle fenêtre, et connectez-vous au compte de votre fournisseur d’identité.
Suivez les instructions fournies par la documentation de l’IdP pour télécverser un nouveau certificat SAML.
Téléchargez le nouveau fichier de métadonnées XML à fournir à Tableau Cloud.
Revenez à la page Modifier la configuration dans Tableau Cloud, et à l’étape 2, téléversez le fichier de métadonnées que vous avez téléchargé depuis le fournisseur d’identité.
Faites défiler la page et cliquez sur le bouton Enregistrer et continuer.
Pour TCM
Connectez-vous à TCM en tant qu’administrateur de site, et sélectionnez Paramètres > Authentification.
Dans la liste déroulante Authentification, sélectionnez SAML > Configuration (obligatoire).
Ouvrez un nouvel onglet ou une nouvelle fenêtre, et connectez-vous au compte de votre fournisseur d’identité.
Suivez les instructions fournies par la documentation de l’IdP pour télécverser un nouveau certificat SAML.
Téléchargez le nouveau fichier de métadonnées XML à fournir à TCM.
Revenez à la page Authentification dans TCM, et à l’étape 2, téléversez le fichier de métadonnées que vous avez téléchargé depuis le fournisseur d’identité.
Faites défiler la page et cliquez sur le bouton Enregistrer et continuer.
Personnaliser et contrôler l’accès aux données à l’aide d’attributs utilisateur
Les attributs utilisateur sont des métadonnées utilisateur définies par votre organisation. Les attributs utilisateur peuvent être utilisés pour déterminer l’accès selon un modèle d’autorisation de contrôle d’accès basé sur les attributs (Attribute-based access control, ABAC). Les attributs utilisateur peuvent concerner n’importe quel aspect du profil utilisateur, y compris les rôles professionnels, l’appartenance au service, le niveau de gestion, etc. Ils peuvent également être associés à des contextes utilisateur d’exécution, comme l’endroit d’où l’utilisateur est connecté ou sa préférence linguistique.
En incluant des attributs utilisateur dans votre flux de travail, vous pouvez contrôler et personnaliser l’expérience utilisateur grâce à l’accès aux données et à la personnalisation.
- Accès aux données : les attributs utilisateur peuvent être utilisés pour appliquer des politiques de sécurité des données. Cette approche garantit que les utilisateurs ne voient que les informations qu’ils sont autorisés à voir.
- Personnalisation : en transmettant des attributs utilisateur comme l’emplacement et le rôle, votre contenu peut être personnalisé pour n’afficher que les informations pertinentes pour l’utilisateur qui y accède, ce qui lui permet de trouver plus facilement les informations dont il a besoin.
Résumé des étapes de transmission des attributs utilisateur
Le processus d’activation des attributs utilisateur dans un flux de travail est résumé dans les étapes suivantes :
- Activer le paramètre des attributs utilisateur
- Inclure des attributs utilisateur dans l’assertion
- Vérifier que l’auteur du contenu inclut les fonctions d’attribut utilisateur et les filtres pertinents
- Vérifier le contenu
Étape 1 : Activer le paramètre des attributs utilisateur
Pour des raisons de sécurité, les attributs utilisateur ne sont validés dans un flux de travail d’authentification que lorsque le paramètre d’attribut utilisateur est activé par un administrateur de site.
Connectez-vous à Tableau Cloud et cliquez sur Paramètres > Authentification.
Sous « Contrôler l’accès des utilisateurs dans l’en-tête du flux de travail d’authentification », cochez la case Activer la capture des attributs utilisateur dans les flux de travail d’authentification.
Pour plus d’informations concernant les paramètres du site, consultez Contrôler l’accès des utilisateurs dans les flux de travail d’authentification.
Étape 2 : Inclure l’attribut utilisateur dans l’assertion
Assurez-vous que l’assertion contient les attributs utilisateur.
Remarque : Les attributs de la réponse SAML sont soumis à une limite de 4 096 caractères, à l’exception des attributs scope et scp. Si les attributs de la réponse, y compris les attributs utilisateur, dépassent cette limite, Tableau supprime les attributs et transmet l’attribut ExtraAttributesRemoved à la place. L’auteur du contenu peut ensuite créer un calcul avec l’attribut ExtraAttributesRemoved pour déterminer comment afficher le contenu aux yeux des utilisateurs lorsque l’attribut a été détecté.
Exemple
Supposons que vous ayez un employé, Fred Suzuki, un gestionnaire situé dans la région Sud. Vous devez vous assurer que lorsque Fred examine les rapports, il ne puisse voir que les données de la région Sud. Dans un tel scénario, vous pouvez inclure l’attribut utilisateur Region dans la réponse SAML comme dans l’exemple ci-dessous.
<saml:Assertion xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion"
<saml;Issuer">https://myidp.okta.com/saml</saml:Issuer">
<saml;Subject">
<saml:NameId Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"fsuzuki@example.com</saml:NameID">
<saml:AttributeStatement xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion">
<saml:Attribute Name="Region" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">
<saml:AttributeValue">South</saml:AttributeValue">
</saml:Attribute">
</saml:AttributeStatement">
</saml:Assertion">
Étape 3 : S’assurer que l’auteur du contenu inclut des fonctions d’attribut
Assurez-vous que l’auteur du contenu inclut les fonctions d’attribut utilisateur et les filtres associés pour contrôler les données pouvant s’afficher dans son contenu. Pour que les assertions d’attributs utilisateur soient transmises à Tableau, le contenu doit contenir l’une des fonctions d’attribut utilisateur suivantes :
USERATTRIBUTE('attribute_name')USERATTRIBUTEINCLUDES('attribute_name', 'expected_value')
La fonction utilisée par l’auteur de contenu varie selon que les attributs utilisateur soient censés renvoyer une ou plusieurs valeurs. Pour plus d’informations sur ces fonctions et des exemples de chacune d’elles, consultez Fonctions utilisateur(Le lien s’ouvre dans une nouvelle fenêtre) dans l’aide de Tableau.
Remarques :
- Il est impossible de prévisualiser le contenu de ces fonctions lors de la création dans Tableau Desktop ou Tableau Cloud. La fonction renverra les valeurs NULL ou FALSE. Pour vous assurer que les fonctions utilisateur fonctionnent comme prévu, nous recommandons à l’auteur de vérifier les fonctions après avoir mis le contenu à disposition.
- Pour s’assurer que le contenu s’affiche comme prévu, l’auteur de contenu peut envisager d’inclure un calcul utilisant l’attribut
ExtraAttributesRemovedqui 1) vérifie cet attribut et 2) détermine quoi faire avec le contenu si c’est le cas, par exemple afficher un message. Tableau ajoute l’attributExtraAttributesRemovedet supprime tous les autres attributs (à l’exceptionscpde ouscope) uniquement lorsque les attributs dans le fichier XML SAML dépassent 4 096 caractères. Cela permet d’assurer des performances optimales et de respecter les limitations de stockage.
Exemple
Si l’on reprend l’exemple présenté à l’Étape 2 : Inclure l’attribut utilisateur dans l’assertion ci-dessus, pour transmettre l’assertion d’attribut utilisateur « Région » à un classeur, l’auteur peut inclure USERATTRIBUTEINCLUDES. Par exemple, USERATTRIBUTEINCLUDES('Region', [Region]), où « Région » est l’attribut utilisateur et [Région] est une colonne dans les données. À l’aide du nouveau calcul, l’auteur peut créer une table contenant les données des gestionnaires et des ventes. Lorsque le calcul est ajouté, le classeur renvoie des valeurs « False », comme prévu.
Pour afficher uniquement les données associées à la région Sud dans le classeur intégré, l’auteur peut créer un filtre et le personnaliser de manière à afficher les valeurs lorsque la zone géographique Sud est « True ». Lorsque le filtre est appliqué, le classeur se vide comme prévu, car la fonction renvoie des valeurs « False » et le filtre est personnalisé pour afficher uniquement les valeurs « True ».
Étape 4 : Vérifier le contenu
Vérifiez et validez le contenu.
Exemple
Pour conclure l’exemple de Étape 3 : S’assurer que l’auteur du contenu inclut des fonctions d’attribut ci-dessus, vous pouvez voir que les données de vente de la vue sont personnalisées pour Fred Suzuki parce que son contexte utilisateur est la région Sud.
Les responsables des régions représentées dans le classeur devraient voir la valeur associée à leur région. Par exemple, Sawdie Pawthorne de la région Ouest voit les données spécifiques à sa région.
Les gestionnaires dont les régions ne sont pas représentées dans le classeur voient un classeur vide.
Problèmes connus et restrictions
Il existe quelques problèmes connus et restrictions dont vous devez tenir compte lorsque vous utilisez des fonctions d’attribut utilisateur.
Images vides lors de l’utilisation de l’API REST de Tableau
Les requêtes de l’API REST de Tableau Interroger une image d’aperçu(Le lien s’ouvre dans une nouvelle fenêtre), Interroger une image de classeur(Le lien s’ouvre dans une nouvelle fenêtre) et Obtenir une image de vue personnalisée(Le lien s’ouvre dans une nouvelle fenêtre) produisent des images vides.
Limites
- Les fonctions d’attribut utilisateur dans les sources de données publiées (.pds) ne sont pas prises en charge.
- Les fonctions d’attribut utilisateur dans les flux de travail Tableau Bridge ne sont pas prises en charge.