Fase 1.Creare un account AWS

Se non disponi già di un account Amazon Web Services (AWS), puoi registrarti per un account AWS(Il collegamento viene aperto in una nuova finestra) sul sito Web di AWS.

Fase 2.Creare un bucket Amazon S3 e impostare le autorizzazioni

1. Crea un bucket Amazon S3 per ricevere i tuoi dati dei log.Per maggiori informazioni, consulta Creare un bucket(Il collegamento viene aperto in una nuova finestra) sul sito Web di AWS.

2. Configura il bucket Amazon S3 con le seguenti impostazioni:

   1. In Proprietà oggetto, seleziona ACL disabilitati (consigliato).Ciò garantisce che il proprietario del bucket sia il proprietario di tutti gli oggetti scritti su di esso.

   2. In Controllo delle versioni del bucket, seleziona Abilita.Il controllo delle versioni del bucket deve essere abilitato per replicare gli oggetti.

   3. In Crittografia predefinita, seleziona Abilita.

   4. Scegli AWS Key Management Service (SSE-KMS).

   5. Scegli Inserisci l’ARN della chiave AWS KMS.

   6. Fai clic sul pulsante Crea chiave visualizzato per creare una nuova chiave AWS Key Management Service (KMS).

      Nota: le chiavi KMS per più regioni non sono supportate.

   7. Seleziona il tipo Chiave simmetrica e Crittografa e decrittografa l’utilizzo della chiave .

   8. Assegna un nome alla chiave con un alias, quindi fai clic fino alla pagina Verifica.

   9. Aggiungi questa istruzione all’elenco delle istruzioni del criterio della chiave.Utilizza la tabella Mapping dei ruoli per regione per trovare il ruolo specifico della regione, quindi sostituisci HYPERFORCE-IAM-ROLE.

      {
          "Sid": "AllowTableauS3ReplicationSourceRoleToUseTheKey",
          "Effect": "Allow",
          "Principal": {
              "AWS": [
                  "HYPERFORCE-IAM-ROLE"
              ]
          },
          "Action": [
              "kms:GenerateDataKey",
              "kms:Encrypt"
          ],
          "Resource": "*"
      }

      Nota: questa istruzione consente al ruolo IAM di Hyperforce di crittografare gli oggetti inseriti nel bucket Amazon S3.Per maggiori informazioni, consulta Utilizzo della crittografia lato server con chiavi AWS KMS (SSE-KMS)(Il collegamento viene aperto in una nuova finestra) (in inglese) sul sito Web di AWS.

      • "kms:GenerateDataKey" viene utilizzato per generare una chiave dati per crittografare le repliche di oggetti.

      • "kms:Encrypt" viene utilizzato per crittografare le repliche di oggetti create nel bucket S3 di destinazione.

      • "Risorsa": "*" concede l’autorizzazione per la chiave KMS solo al ruolo di replica e non consente al ruolo di elevare le proprie autorizzazioni.

   10. Fai clic su Fine per creare la chiave KMS.

   11. Fai clic su Crea bucket per creare il bucket Amazon S3.

3. Aggiorna le autorizzazioni sul criterio del bucket Amazon S3.

1. Apri il bucket Amazon S3 e fai clic sulla scheda Autorizzazioni.

2. Individua la sezione relativa al criterio del bucket e fai clic su Modifica.

3. Aggiungi questa istruzione all’elenco delle istruzioni del criterio del bucket.

   • Sostituisci S3-BUCKET-NAME con il nome del bucket.

   • Utilizza la tabella Mapping dei ruoli per regione per trovare il ruolo specifico della regione, quindi sostituisci HYPERFORCE-IAM-ROLE.

   {
       "Sid": "TableauS3ReplicationRoleAccess",
       "Effect": "Allow",
       "Principal": {
           "AWS": [
               "HYPERFORCE-IAM-ROLE"
           ]
       },
       "Action": [
           "s3:ReplicateObject",
           "s3:ReplicateDelete"
       ],
       "Resource": [
           "arn:aws:s3:::S3-BUCKET-NAME",
           "arn:aws:s3:::S3-BUCKET-NAME/*"
       ]
   }

   Nota: questa istruzione consente al ruolo IAM di Hyperforce di replicare gli oggetti nel bucket.Per maggiori informazioni, consulta Concessione di autorizzazioni quando i bucket di origine e di destinazione sono di proprietà di account AWS diversi(Il collegamento viene aperto in una nuova finestra) (in inglese) sul sito Web di AWS.

   • Utilizzando “*” e “<path>/*” viene concesso l’accesso a tutti i prefissi nel bucket e nel percorso specificati nel bucket.

   • Le autorizzazioni "s3:ReplicateObject" e "s3:ReplicateDelete" sono le autorizzazioni minime richieste per replicare correttamente gli oggetti ed eliminare gli indicatori.

4. Facoltativo.Se il tuo bucket di destinazione dispone di un criterio che limita l’accesso tramite un endpoint VPC (Amazon Virtual Private Cloud), devi modificare il criterio del bucket oltre a TableauS3ReplicationRoleAccess che hai appena aggiunto.Per maggiori informazioni, consulta Come faccio a consentire l’accesso al mio bucket Amazon S3 solo a determinati endpoint VPC o indirizzi IP?(Il collegamento viene aperto in una nuova finestra) (in inglese) sul sito Web di AWS.

   Se il criterio del bucket corrente contiene una restrizione VPC come questa:

   {
       "Sid": "Restricted VPC Access",
       "Effect": "Deny",
       "Principal": "*",
       "Action": "s3:*",
       "Resource": [
           "arn:aws:s3:::S3-BUCKET-NAME",
           "arn:aws:s3:::S3-BUCKET-NAME/*"
       ],
       "Condition": {
           "StringNotEquals": {
               "aws:SourceVpc": "vpc-<ID>"
           }
       }
   }

   Modifica l’elenco “Condition”.Utilizza la tabella Mapping dei ruoli per regione per trovare il ruolo e l’ID ruolo specifici della regione, quindi sostituisci HYPERFORCE-IAM-ROLE e HYPERFORCE-IAM-ROLE-ID.

   "StringNotLike": {
       "aws:userId": ["HYPERFORCE-IAM-ROLE-ID:*"]
   },
   "ArnNotLike": {
       "aws:PrincipalArn": "HYPERFORCE-IAM-ROLE"
   }

   Il criterio modificato dovrebbe essere simile al seguente:

   {
       "Sid": "Restricted VPC Access",
       "Effect": "Deny",
       "Principal": "*",
       "Action": "s3:*",
       "Resource": [
           "arn:aws:s3:::S3-BUCKET-NAME",
           "arn:aws:s3:::S3-BUCKET-NAME/*"
       ],
       "Condition": {
           "StringNotLike": {
               "aws:userId": ["HYPERFORCE-IAM-ROLE-ID:*"]
           },
           "ArnNotLike": {
               "aws:PrincipalArn": "HYPERFORCE-IAM-ROLE"
           },
           "StringNotEquals": {
               "aws:SourceVpc": "vpc-<ID>"
           }
       }
   }

   Questo criterio consente esplicitamente al ruolo IAM di Hyperforce di eseguire ReplicateObject e ReplicateDelete.Esclude inoltre il ruolo dall’istruzione Deny VPC esplicita esistente.

5. Fai clic su Salva modifiche.

Verificare la replica dei file di sicurezza

1. Vai al bucket Amazon S3 di destinazione e trova la cartella che inizia con siteLuid (il resto del nome è l’identificatore univoco del sito).

2. Trova il file di testo denominato SECURITY_VERIFICATION_FILE.txt.

3. Scarica e apri il file di testo.

4. Copia il contenuto del testo all’interno del file.

5. Torna alla pagina Impostazioni e incolla il contenuto del testo nel campo di input Contenuto del file di testo, quindi fai clic su Invia .

6. Se il contenuto inviato è corretto, lo stato della connessione cambia in Attivo.Il log attività ora è abilitato e i dati inizieranno a replicarsi nel bucket Amazon S3 di destinazione.

7. Se il contenuto inviato non è corretto, verrà visualizzato un messaggio di errore.Verifica che il contenuto sia stato copiato correttamente senza caratteri o spazi aggiuntivi.

Risoluzione dei problemi

Il file di verifica della sicurezza non viene visualizzato?

• La visualizzazione del file nel bucket Amazon S3 di destinazione potrebbe richiedere fino a 15 minuti a causa delle limitazioni di Amazon S3.

  Se lo stato della connessione dice "In corso", è ancora in corso il tentativo di replica del file.Per maggiori informazioni, consulta Risoluzione dei problemi nella replica(Il collegamento viene aperto in una nuova finestra) sul sito Web di AWS.

• Uno stato di connessione Non riuscito significa che il file non è stato replicato correttamente.

  Verifica che le autorizzazioni sul criterio del bucket Amazon S3 e sul criterio delle chiavi AWS Key Management Service (KMS) contengano le istruzioni appropriate.Per maggiori informazioni, consulta i seguenti argomenti sul sito Web di AWS:

  • Risoluzione dei problemi nella replica(Il collegamento viene aperto in una nuova finestra)
  • Configurazione della replica quando i bucket di origine e di destinazione sono di proprietà di account diversi(Il collegamento viene aperto in una nuova finestra)
  • Ho configurato la replica tra i miei bucket, ma i nuovi oggetti non vengono replicati.Come posso risolvere questo problema?(Il collegamento viene aperto in una nuova finestra)

Altre impostazioni necessarie affinché i file di log raggiungano il bucket Amazon S3

• Il bucket Amazon S3 ha il controllo delle versioni del bucket abilitato (in Proprietà > Controllo delle versioni del bucket ).

• Il bucket Amazon S3 ha il blocco di tutti gli accessi pubblici abilitato (in Autorizzazioni > Blocca l’accesso pubblico (impostazioni del bucket) ).

• Il bucket Amazon S3 dispone delle seguenti autorizzazioni ACL solo per il "proprietario del bucket" (in Autorizzazioni > Elenchi di controllo degli accessi (ACL)):

  • Oggetti: elenco, scrittura

  • Bucket ACL: lettura, scrittura

• Il criterio di autorizzazione della chiave KMS contiene l’istruzione nella Fase 2.Creare un bucket Amazon S3 e impostare le autorizzazioni, fase 2. i. (in Proprietà > Crittografia predefinita, fare clic sull’ARN in ARN della chiave AWS KMS per accedere al criterio della chiave KMS).

• Il bucket Amazon S3 ha la crittografia predefinita abilitata e la chiave del bucket abilitata (in Proprietà > Crittografia predefinita).

• Il criterio delle autorizzazioni del bucket Amazon S3 (in Autorizzazioni > Criterio del bucket) corrisponde esattamente a quello nelle istruzioni.Assicurati di aver sostituito il valore di esempio "S3-BUCKET-NAME" con il bucket Amazon S3 appena creato.

Cambiamento della regione AWS per i siti nei pod Europa-Irlanda

Tra agosto 2024 e marzo 2025, è stata eseguita la migrazione dei siti di Tableau Cloud a Salesforce Hyperforce(Il collegamento viene aperto in una nuova finestra).Nell’ambito della migrazione i pod nella regione Irlanda sono stati spostati nella regione Germania.Se il tuo sito risiedeva in un pod nella regione Irlanda, dovrai riconfigurare il log attività in modo da utilizzare un bucket AWS S3 nella nuova regione Germania.