Étape 1.Créer un compte AWS

Si vous n’avez pas encore de compte Amazon Web Services (AWS), vous pouvez vous inscrire à un compte AWS(Le lien s’ouvre dans une nouvelle fenêtre) sur le site Web d’AWS.

Étape 2.Créer un compartiment Amazon S3 et configurer les autorisations

1. Créez un compartiment Amazon S3 pour recevoir vos données de journal.Pour plus d’informations, consultez Créer un compartiment(Le lien s’ouvre dans une nouvelle fenêtre) sur le site Web d’AWS.

2. Configurez le compartiment Amazon S3 avec les paramètres suivants :

   1. Sous Propriété de l’objet, sélectionnez ACL désactivées (recommandé).Cela garantit que le propriétaire du compartiment est le propriétaire de tous les objets qui y sont écrits.

   2. Sous Gestion des versions sur les compartiments, sélectionnez Activer.La gestion des versions sur les compartiments doit être activée pour répliquer des objets.

   3. Sous Chiffrement par défaut , sélectionnez Activer.

   4. Choisissez AWS Key Management Service (SSE-KMS).

   5. Choisissez Entrer l’ARN de la clé AWS KMS.

   6. Cliquez sur le bouton Créer une clé qui s’affiche pour créer une nouvelle clé AWS Key Management Service (KMS).

      Remarque : Les clés multirégionales KMS ne sont pas prises en charge.

   7. Sélectionnez le type de Clé symétrique et Chiffrer et déchiffrer l’utilisation de la clé.

   8. Nommez la clé avec un alias, puis cliquez jusqu’à la page Révision.

   9. Ajoutez cette déclaration à la Liste de déclarations de la stratégie de clé.Utilisez la table Mappage des rôles par région pour trouver votre rôle spécifique à une région, puis remplacez HYPERFORCE-IAM-ROLE.

      {
          "Sid": "AllowTableauS3ReplicationSourceRoleToUseTheKey",
          "Effect": "Allow",
          "Principal": {
              "AWS": [
                  "HYPERFORCE-IAM-ROLE"
              ]
          },
          "Action": [
              "kms:GenerateDataKey",
              "kms:Encrypt"
          ],
          "Resource": "*"
      }

      Remarque : cette instruction permet au rôle Hyperforce IAM de chiffrer les objets placés dans le compartiment Amazon S3.Pour plus d’informations, consultez Utilisation du chiffrement côté serveur avec AWS KMS clés (SSE-KMS)(Le lien s’ouvre dans une nouvelle fenêtre) sur le site Web d’AWS.

      • « kms:GenerateDataKey » est utilisé pour générer une clé de données pour chiffrer les répliques d’objets.

      • « kms:Encrypt » est utilisé pour chiffrer les réplicas d’objets créés dans le compartiment S3 cible.

      • « Ressource » : « * » accorde l’autorisation pour la clé KMS uniquement au rôle de réplication et n’autorise pas le rôle à élever ses autorisations.

   10. Cliquez sur Terminer pour créer la clé KMS.

   11. Cliquez sur Créer un compartiment pour créer le compartiment Amazon S3.

3. Mettez à jour les autorisations sur la stratégie de compartiment Amazon S3.

1. Ouvrez le compartiment Amazon S3 et cliquez sur l’onglet Autorisations.

2. Localisez la section Stratégie de compartiment et cliquez sur Modifier.

3. Ajoutez cette déclaration à la Liste de déclarations de la stratégie de compartiment.

   • Remplacez S3-BUCKET-NAME par le nom du compartiment.

   • Utilisez la table Mappage des rôles par région pour trouver votre rôle spécifique à une région, puis remplacez HYPERFORCE-IAM-ROLE.

   {
       "Sid": "TableauS3ReplicationRoleAccess",
       "Effect": "Allow",
       "Principal": {
           "AWS": [
               "HYPERFORCE-IAM-ROLE"
           ]
       },
       "Action": [
           "s3:ReplicateObject",
           "s3:ReplicateDelete"
       ],
       "Resource": [
           "arn:aws:s3:::S3-BUCKET-NAME",
           "arn:aws:s3:::S3-BUCKET-NAME/*"
       ]
   }

   Remarque : cette déclaration permet au rôle Hyperforce IAM de répliquer des objets dans le compartiment.Pour plus d’informations, consultez Octroi d’autorisations lorsque les compartiments source et de destination appartiennent à des personnes différentes Comptes AWS(Le lien s’ouvre dans une nouvelle fenêtre) sur le site Web AWS.

   • L’utilisation de « * » et « <path>/* » accorde l’accès à tous les préfixes du compartiment et du chemin spécifiés dans le compartiment.

   • Les autorisations « s3:ReplicateObject » et « s3:ReplicateDelete » sont les autorisations minimales requises pour répliquer avec succès des objets et supprimer des marqueurs.

4. Facultatif.Si votre compartiment de destination a une stratégie qui restreint l’accès via un point de terminaison Amazon Virtual Private Cloud (VPC), vous devez modifier la stratégie de compartiment en plus du TableauS3ReplicationRoleAccess que vous venez d’ajouter.Pour plus d’informations, consultez Comment puis-je autoriser uniquement des points de terminaison de VPC ou des adresses IP spécifiques à accéder à mon compartiment Amazon S3 ?(Le lien s’ouvre dans une nouvelle fenêtre) sur le site Web d’AWS.

   Si la règle de compartiment actuelle contient une restriction VPC de ce type :

   {
       "Sid": "Restricted VPC Access",
       "Effect": "Deny",
       "Principal": "*",
       "Action": "s3:*",
       "Resource": [
           "arn:aws:s3:::S3-BUCKET-NAME",
           "arn:aws:s3:::S3-BUCKET-NAME/*"
       ],
       "Condition": {
           "StringNotEquals": {
               "aws:SourceVpc": "vpc-<ID>"
           }
       }
   }

   Modifiez ensuite la liste « Condition ».Utilisez la table Mappage des rôles par région pour trouver votre rôle et votre ID de rôle spécifiques à la région, puis remplacez HYPERFORCE-IAM-ROLE et HYPERFORCE-IAM-ROLE-ID.

   "StringNotLike": {
       "aws:userId": ["HYPERFORCE-IAM-ROLE-ID:*"]
   },
   "ArnNotLike": {
       "aws:PrincipalArn": "HYPERFORCE-IAM-ROLE"
   }

   La stratégie modifiée doit se présenter ainsi :

   {
       "Sid": "Restricted VPC Access",
       "Effect": "Deny",
       "Principal": "*",
       "Action": "s3:*",
       "Resource": [
           "arn:aws:s3:::S3-BUCKET-NAME",
           "arn:aws:s3:::S3-BUCKET-NAME/*"
       ],
       "Condition": {
           "StringNotLike": {
               "aws:userId": ["HYPERFORCE-IAM-ROLE-ID:*"]
           },
           "ArnNotLike": {
               "aws:PrincipalArn": "HYPERFORCE-IAM-ROLE"
           },
           "StringNotEquals": {
               "aws:SourceVpc": "vpc-<ID>"
           }
       }
   }

   Cette stratégie autorise explicitement le rôle IAM Hyperforce à ReplicateObject et ReplicateDelete.Elle exclut également le rôle de déclaration de refus VPC explicite existante.

5. Cliquez sur Enregistrer les modifications.

Vérifier la réplication du fichier de sécurité

1. Accédez au compartiment Amazon S3 cible et recherchez le dossier commençant par siteLuid (le reste du nom est l’identifiant unique du site).

2. Trouvez le fichier texte nommé SECURITY_VERIFICATION_FILE.txt.

3. Téléchargez et ouvrez le fichier texte.

4. Copiez le contenu du texte dans le fichier.

5. Revenez à la page Paramètres et collez le contenu du texte dans le champ de saisie Contenu du fichier texte, puis cliquez sur Envoyer.

6. Si le contenu envoyé est correct, l’état de la connexion passe à Actif.Le journal d’activité est maintenant activé et les données commenceront à être répliquées dans le compartiment Amazon S3 cible.

7. Si le contenu envoyé est incorrect, un message d’erreur s’affiche.Vérifiez que le contenu a été correctement copié sans caractères ni espaces supplémentaires.

Résolution des problèmes

Le fichier de vérification de sécurité n’apparaît pas ?

• Il faut parfois jusqu’à 15 minutes pour que le fichier apparaisse dans le compartiment Amazon S3 cible en raison des limitations d’Amazon S3.

  Si l’état de la connexion indique « En cours », le fichier tente toujours de se répliquer.Pour plus d’informations, consultez Résolution des problèmes de réplication(Le lien s’ouvre dans une nouvelle fenêtre) sur le site Web d’AWS.

• Un état de connexion Échec signifie que le fichier n’a pas pu être répliqué correctement.

  Vérifiez que les autorisations sur la stratégie de compartiment Amazon S3 et la stratégie de clé AWS Key Management Service (KMS) contiennent les instructions appropriées.Pour plus d’informations, consultez les rubriques suivantes sur le site Web d’AWS :

  • Résolution des problèmes de réplication(Le lien s’ouvre dans une nouvelle fenêtre)
  • Configuration d’une réplication quand les compartiments source et de destination appartiennent à des comptes distincts(Le lien s’ouvre dans une nouvelle fenêtre)
  • J’ai configuré la réplication entre mes compartiments, mais la réplication de nouveaux objets ne se fait pas.Comment puis-je résoudre ce problème ?(Le lien s’ouvre dans une nouvelle fenêtre)

Autres paramètres requis pour que les fichiers journaux atteignent le compartiment Amazon S3

• La Gestion des versions de compartiment est activée pour le compartiment Amazon S3 (sous Propriétés > Gestion des versions de compartiment).

• L’option Bloquer tous les accès publics est activée pour le compartiment Amazon S3 (sous Autorisations > Bloquer l’accès public (paramètres du compartiment)).

• Le compartiment Amazon S3 dispose des autorisations ACL suivantes uniquement pour le « propriétaire du compartiment » (sous Autorisations > Liste de contrôle d’accès (ACL)) :

  • Objets : liste, écriture

  • ACL de compartiment : lecture, écriture

• La stratégie d’autorisations de clé KMS contient la déclaration de l’Étape 2.Créer un compartiment Amazon S3 et configurer les autorisations.Étape 2.Créer un compartiment Amazon S3 et configurer les autorisations, Étape 2. i. (sous Propriétés > Chiffrement par défaut, cliquez sur l’ARN sous ARN de clé AWS KMS pour accéder à la stratégie de clé KMS).

• Le chiffrement par défaut est activé pour le compartiment Amazon S3 et une clé de compartiment est activée (sous Propriétés > Chiffrement par défaut).

• La stratégie d’autorisations de compartiment Amazon S3 (sous Autorisations > Stratégie de compartiment) correspond exactement à celle des instructions.Assurez-vous d’avoir remplacé l’exemple de valeur "S3-BUCKET-NAME" par le compartiment Amazon S3 que vous venez de créer.

Changement de région AWS pour les sites sur les pods Europe - Irlande

Entre août 2024 et mars 2025, les sites Tableau Cloud ont été migrés vers Hyperforce(Le lien s’ouvre dans une nouvelle fenêtre) de Salesforce.Dans le cadre de la migration, les pods de la région Irlande ont été déplacés vers la région Allemagne.Si votre site résidait sur un pod de la région Irlande, vous devrez reconfigurer le journal d’activité de manière à utiliser un compartiment AWS S3 dans la nouvelle région, à savoir l’Allemagne.