SAML-verificatie op een site of TCM inschakelen
In dit onderwerp wordt uitgelegd hoe u SAML op de site
Opmerking: Voor het inschakelen van SAML-verificatie voor TCM zijn aparte instellingen en app-integratie van Tableau Cloud vereist.
Bij dit onderwerp wordt ervan uitgegaan dat u bekend bent met de informatie in Verificatie en Hoe SAML-authenticatie werkt.
IdP-specifieke configuratie-informatie
De stappen in de secties later in dit onderwerp bieden de basisstappen die u kunt gebruiken met de documentatie van uw IdP om SAML te configureren voor uw Tableau Cloud-site
SAML inschakelen
Voor Tableau Cloud
Meld u aan bij uw Tableau Cloud-site als sitebeheerder en selecteer Instellingen > Verificatie.
Klik op het tabblad Verificatie op de knop Nieuwe configuratie, selecteer SAML in de vervolgkeuzelijst Verificatie en voer vervolgens een naam in voor de configuratie.
Opmerking: Van configuraties die vóór januari 2025 zijn gemaakt (Tableau 2024.3), kan de naam niet worden gewijzigd.
Voor TCM
Of ga als volgt te werk in TCM:
Meld u als cloudbeheerder aan bij TCM en selecteer Instellingen > Verificatie.
Schakel het selectievakje Een extra verificatiemethode inschakelen in en selecteer SAML in de vervolgkeuzelijst Verificatie.
Klik op de vervolgkeuzepijl Configuratie (verplicht).
SAML-configuratiestappen
In dit gedeelte worden de configuratiestappen beschreven die worden weergegeven op het tabblad Verificatie op de pagina met instellingen van Tableau Cloud
Opmerking: om dit proces te voltooien, hebt u ook de documentatie nodig die uw IdP u verstrekt. Zoek naar onderwerpen die betrekking hebben op het configureren of definiëren van een serviceprovider voor een SAML-verbinding of het toevoegen van een toepassing.
Ga naar uw IdP, meld u aan bij uw IdP-account en gebruik de instructies in de documentatie van uw IdP om de metadata van uw IdP te downloaden. Met de metadata van de IdP kan Tableau Cloud
Voor stap 1 zal de documentatie van de IdP u ook begeleiden bij het verstrekken van metadata aan een serviceprovider. U wordt gevraagd een SAML-metadatabestand te downloaden, of er wordt XML-code weergegeven. Als XML-code wordt weergegeven, kopieer en plak de code dan in een nieuw tekstbestand en sla het bestand op met de extensie .xml.
Voor Tableau Cloud gaat u naar de pagina Nieuwe configuratie in Tableau Cloud en importeert u het metadatabestand (.xml) dat u van de IdP hebt gedownload of handmatig hebt geconfigureerd vanuit de XML die de IdP heeft verstrekt.
Voor TCM gaat u naar de pagina Verificatie in TCM en importeert u het metadatabestand (.xml) dat u van de IdP hebt gedownload of handmatig hebt geconfigureerd vanuit de XML die de IdP heeft verstrekt.
Opmerkingen:
- Nadat de IdP-metadata zijn geüpload, worden de twee velden ID van IdP-entiteit en IdP URL voor SSO-service automatisch ingevuld.
- Als u de configuratie bewerkt, moet u het metadatabestand uploaden zodat Tableau weet dat de juiste ID van IdP-entiteit en URL voor SSO-service moeten worden gebruikt.
- U kunt de knop IdP-metadata wissen gebruiken als u een nieuw metadatabestand moet uploaden.
Kenmerken bevatten verificatie, autorisatie en andere informatie over een gebruiker.
Opmerking: Tableau Cloud
Gebruikersnaam: (Verplicht) voer de naam in van het kenmerk waarin de gebruikersnamen (e-mailadressen) van gebruikers zijn opgeslagen.
E-mailadres: (Optioneel) voer de naam in van het kenmerk dat het e-mailadres bevat dat de IdP gebruikt tijdens het verificatieproces, zodat gebruikers meldingen kunnen ontvangen op een e-mailadres dat verschilt van de gebruikersnaam. Het kenmerk E-mailadres wordt alleen gebruikt voor meldingen en niet voor aanmelding.
Weergavenaam: (Optioneel maar aanbevolen) sommige IdP's gebruiken aparte kenmerken voor voor- en achternaam, terwijl andere IdP's de volledige naam in één kenmerk opslaan.
Selecteer de knop die overeenkomt met de manier waarop uw IdP de namen opslaat. Als de IdP bijvoorbeeld voor- en achternaam in één kenmerk combineert, selecteert u Weergavenaamen voert u vervolgens de kenmerknaam in.
Opmerking: dit is alleen van toepassing op Tableau Cloud.
Selecteer de methode waarmee gebruikers zich aanmelden bij ingesloten weergaven. U kunt kiezen uit het openen van een apart pop-upvenster waarin het aanmeldingsformulier van de IdP wordt weergegeven, of het gebruiken van een inline frame (iframe).
Belangrijk: omdat iframes kwetsbaar kunnen zijn voor clickjacking-aanvallen ondersteunen niet alle IdP's het aanmelden via een iframe. Bij clickjacking probeert de aanvaller gebruikers te verleiden om op inhoud te klikken of deze in te voeren. Ze doen dit door de aan te vallen pagina in een transparante laag over een niet-gerelateerde pagina weer te geven. Voor Tableau Cloud kan een aanvaller proberen om gebruikersdata te bemachtigen of om een geverifieerde gebruiker instellingen te laten wijzigen. Zie Clickjacking(Link wordt in een nieuw venster geopend) op de website van het Open Web Application Security Project voor meer informatie.
Als uw IdP geen ondersteuning biedt voor aanmelden via een iframe, selecteert u Verifiëren in een afzonderlijk pop-upvenster.
Om de SAML-verbinding tussen
Selecteer de knop Metadata exporteren om een XML-bestand te downloaden met de ID van SAML-entiteit, URL voor Assertion Consumer Service (ACS) en het X.509-certificaat van Tableau Cloud.
Selecteer Certificaat downloaden als uw IdP de vereiste informatie op een andere manier verwacht. Als u bijvoorbeeld de Tableau Cloud entiteits-ID, ACS-URL en X.509-certificaat op afzonderlijke locaties moet invoeren.
Om de SAML-verbinding tussen Tableau Cloud en uw IdP te maken, moet u de vereiste metadata tussen de twee services uitwisselen. Om metadata te verkrijgen van Tableau Cloud, kiest u een van de volgende methoden. Raadpleeg de SAML-configuratiedocumentatie van de IdP om de juiste optie te bevestigen.
Selecteer de knop Metadata exporteren om een XML-bestand te downloaden met de ID van SAML-entiteit, URL voor Assertion Consumer Service (ACS) en het X.509-certificaat van Tableau Cloud.
Selecteer Certificaat downloaden als uw IdP de vereiste informatie op een andere manier verwacht. Als u bijvoorbeeld de Tableau Cloud entiteits-ID, ACS-URL en X.509-certificaat op afzonderlijke locaties moet invoeren.
Voor stap 5 gebruikt u de instructies die worden vermeld in de documentatie van de IdP om de TCM-metadata te in te dienen.
Voor stap 6 gebruikt u de instructies die worden vermeld in de documentatie van de IdP om de Tableau Cloud-metadata te verzenden.
We raden u ten zeerste aan de SAML-configuratie te testen om vergrendelde scenario's te voorkomen. Door de configuratie te testen, weet u zeker dat u SAML correct hebt geconfigureerd voordat u het verificatietype van uw gebruikers wijzigt naar SAML. Om de configuratie succesvol te testen, moet u ervoor zorgen dat er ten minste één gebruiker is als wie u zich kunt aanmelden, die al is ingericht in de IdP en met het geconfigureerde SAML-verificatietype aan uw Tableau Cloud of
Als u zich niet succesvol kunt aanmelden bij TCM, begin dan met de stappen voor probleemoplossing die worden voorgesteld op de pagina Verificatie. Als deze stappen het probleem niet oplossen, raadpleeg dan Problemen met SAML oplossen.
We raden u ten zeerste aan de SAML-configuratie te testen om vergrendelde scenario's te voorkomen. Door de configuratie te testen, weet u zeker dat u SAML correct hebt geconfigureerd voordat u het verificatietype van uw gebruikers wijzigt naar SAML. Om de configuratie succesvol te testen, moet u ervoor zorgen dat er ten minste één gebruiker is als wie u zich kunt aanmelden, die al is ingericht in de IdP en met het geconfigureerde SAML-verificatietype aan uw Tableau Cloud of
Als u zich niet succesvol kunt aanmelden bij Tableau Cloud, begin dan met de stappen voor probleemoplossing die worden voorgesteld op de pagina Nieuwe configuratie. Als deze stappen het probleem niet oplossen, raadpleeg dan Problemen met SAML oplossen.
Selecteer bestaande gebruikers van Tableau Cloud
Wanneer u gebruikers toevoegt of importeert, geeft u ook hun verificatietype op. Op de pagina Gebruikers kunt u het verificatietype van gebruikers op elk gewenst moment wijzigen nadat u ze hebt toegevoegd.
Raadpleeg voor meer informatie een van de volgende bronnen:
Het onderwerp Gebruikers aan een site toevoegen of Gebruikers importeren voor Tableau Cloud
Gebruikers beheren met Tableau Cloud Manager voor meer informatie over TCM
Opmerking: dit is alleen van toepassing op Tableau Cloud.
Gebruikers mogen hun verificatietype kiezen
Wanneer deze optie is geselecteerd, wordt alleen een pop-upvenster ondersteund. In dit pop-upvenster worden twee aanmeldingsopties getoond als een weergave is ingesloten: een aanmeldingsknop die verificatie via eenmalige aanmelding (SSO) gebruikt en een link om de Tableau-referenties als alternatief te gebruiken.
Tip: bij deze optie moeten gebruikers weten welke aanmeldingsoptie ze moeten kiezen. In de meldingen die u naar uw gebruikers stuurt nadat u ze hebt toegevoegd aan de SSO-site, kunt u ze informeren welk verificatietype ze moeten gebruiken voor verschillende aanmeldingsscenario's. Bijvoorbeeld ingesloten weergaven, Tableau Desktop, Tableau Bridge, Tableau Mobile, enzovoort.
Tableau met MFA
Voor deze optie moeten gebruikers zich aanmelden met referenties voor
Lijst met verificatieconfiguraties
Als een specifieke configuratieoptie is geselecteerd, wordt de manier waarop gebruikers zich kunnen aanmelden bij ingesloten weergaven bepaald door de instelling die u in stap 6 hierboven hebt geselecteerd voor de benoemde configuratie.
Gebruik de verificatie Tableau
Als een site
Als u niet langer wilt dat een identiteitsprovider de verificatie afhandelt, of als u niet wilt dat alle gebruikers zich aanmelden met hun referenties voor
Als u SAML voor sommige gebruikers ingeschakeld wilt houden, maar wilt dat anderen
Het verificatietype van de site wijzigen
Voor Tableau Cloud
Sinds januari 2025 (Tableau 2024.3) kunt u meerdere verificatietypen en -methoden op een site inschakelen. Om te wijzigen welke verificatie u op de site beschikbaar wilt hebben, schakelt u de verificatieconfiguraties in of uit.
Meld u als sitebeheerder aan bij the Tableau Cloud.
Selecteer Instellingen > Verificatie.
Schakel verificatieconfiguraties voor de site in of uit door op het menu Acties te klikken en vervolgens Uitschakelen of Inschakelen te selecteren.
Nadat u de SAML-configuratie inactief hebt gemaakt, blijven de metadata en IdP-informatie behouden. Als u de SAML-configuratie vervolgens weer wilt inschakelen, hoeft u de SAML-verbinding met de IdP niet opnieuw in te stellen.
Voor TCM
Meld u bij TCM aan als Cloud-beheerder.
Selecteer Instellingen > Verificatie.
Verwijder het vinkje van het selectievakje Een aanvullende verificatiemethode inschakelen.
SAML-certificaat bijwerken
Het certificaat dat wordt gebruikt voor de sitemetadata van Tableau wordt geleverd door Tableau en kan niet worden geconfigureerd. Om het certificaat voor SAML bij te werken, moet u een nieuw certificaat uploaden naar uw IdP en de metadata opnieuw uitwisselen met Tableau Cloud.
Voor Tableau Cloud
Meld u als sitebeheerder aan bij uw site en selecteer Instellingen > Verificatie.
Ga onder Verificatietypen naar de SAML-configuratie die u wilt bijwerken, klik op het menu Acties en selecteer Bewerken.
Open een nieuw tabblad of venster en meld u aan bij uw IdP-account.
Gebruik de instructies in de documentatie van de IdP om een nieuw SAML-certificaat te uploaden.
Download het nieuwe XML-metadatabestand om aan Tableau Cloud te verstrekken.
Ga terug naar de pagina Configuratie bewerken in Tableau Cloud en upload in Stap 2 het metadatabestand dat u van de IdP hebt gedownload.
Scrol naar beneden op de pagina en klik op de knop Opslaan en doorgaan.
Voor TCM
Meld u bij TCM aan als cloudbeheerder en selecteer Instellingen > Verificatie.
In de vervolgkeuzelijst Verificatie selecteert u SAML > Configuratie (verplicht).
Open een nieuw tabblad of venster en meld u aan bij uw IdP-account.
Gebruik de instructies in de documentatie van de IdP om een nieuw SAML-certificaat te uploaden.
Download het nieuwe XML-metadatabestand om aan TCM te verstrekken.
Ga terug naar de pagina Verificatie in TCM en upload in stap 2 het metadatabestand dat u van de IdP hebt gedownload.
Scrol naar beneden op de pagina en klik op de knop Opslaan en doorgaan.
De toegang tot data aanpassen en beheren met behulp van gebruikerskenmerken
Gebruikerskenmerken zijn metadata van gebruikers die door uw organisatie zijn gedefinieerd. Met gebruikerskenmerken kunt u de toegang bepalen in een typisch, op kenmerken gebaseerd ABAC-autorisatiemodel (Attribute-Based Access Control). Bij gebruikerskenmerken kan het gaan om elk aspect van het gebruikersprofiel, zoals functierollen, afdelingslidmaatschap, managementniveau, enzovoort. Deze kenmerken kunnen ook worden gekoppeld aan gebruikerscontexten tijdens de runtime, zoals de site waar de gebruiker is aangemeld, of de taalvoorkeur van de gebruiker.
Door gebruikerskenmerken in uw workflow op te nemen, kunt u de gebruikerservaring beheren en aanpassen via datatoegang en personalisatie.
- Toegang tot data: u kunt gebruikerskenmerken gebruiken om databeveiligingsbeleid af te dwingen. Dit zorgt ervoor dat gebruikers alleen de data kunnen zien waarvoor ze geautoriseerd zijn.
- Personalisatie: Door gebruikerskenmerken zoals locatie en rol door te geven, kunt u uw inhoud aanpassen zodat alleen de informatie wordt weergegeven die relevant is voor de gebruiker die de inhoud opent. Zo wordt het voor hen gemakkelijker om de informatie te vinden die ze nodig hebben.
Samenvatting van de stappen voor het doorgeven van gebruikerskenmerken
Het proces voor het inschakelen van gebruikerskenmerken in een workflow kan worden samengevat in de volgende stappen:
- De instelling voor gebruikerskenmerken inschakelen
- Gebruikerskenmerken opnemen in de assertie
- Ervoor zorgen dat de auteur functies voor gebruikerskenmerken en relevante filters in de inhoud opneemt
- De inhoud controleren
Stap 1: De instelling voor gebruikerskenmerken inschakelen
Uit veiligheidsoverwegingen worden gebruikerskenmerken alleen gevalideerd in een verificatieworkflow wanneer de instelling voor gebruikerskenmerken is ingeschakeld door een sitebeheerder.
Meld u aan bij Tableau Cloud en klik op Instellingen > Verificatie.
Schakel het selectievakje Vastleggen van gebruikerskenmerken in verificatieworkflows mogelijk maken in onder de kop 'Gebruikerstoegang beheren in verificatieworkflows'.
Zie Gebruikerstoegang beheren in verificatieworkflows voor meer informatie over site-instellingen.
Stap 2: Gebruikerskenmerken opnemen in de assertie
Zorg ervoor dat de assertie de gebruikerskenmerken bevat.
Opmerking: Kenmerken in de SAML-respons zijn onderworpen aan een limiet van 4096 tekens, met uitzondering van de kenmerken scope of scp. Als deze limiet wordt overschreden door de kenmerken in de respons (inclusief de gebruikerskenmerken), verwijdert Tableau de kenmerken en wordt in plaats daarvan het kenmerk ExtraAttributesRemoved doorgegeven. De auteur van de inhoud kan vervolgens een berekening maken met het kenmerk ExtraAttributesRemoved om te bepalen hoe de inhoud aan gebruikers wordt weergegeven wanneer het kenmerk is gedetecteerd.
Voorbeeld
Stel dat u een werknemer hebt, Fred Suzuki, die manager is in de regio Zuid. U wilt ervoor zorgen dat Fred bij het beoordelen van rapporten alleen de data voor de regio Zuid ziet. In een dergelijk scenario kunt u het gebruikerskenmerk Regio opnemen in het SAML-antwoord, zoals in het onderstaande voorbeeld.
<saml:Assertion xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion"
<saml;Issuer">https://myidp.okta.com/saml</saml:Issuer">
<saml;Subject">
<saml:NameId Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"fsuzuki@example.com</saml:NameID">
<saml:AttributeStatement xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion">
<saml:Attribute Name="Region" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">
<saml:AttributeValue">South</saml:AttributeValue">
</saml:Attribute">
</saml:AttributeStatement">
</saml:Assertion">
Stap 3: Zorg ervoor dat de auteur van de inhoud kenmerkfuncties opneemt
Let erop dat de auteur van de inhoud de gebruikerskenmerkfuncties en bijbehorende filters opneemt om te bepalen welke data in de inhoud kunnen worden weergegeven. Om te zorgen dat de gebruikerskenmerkbevestigingen aan Tableau worden doorgegeven, moet de inhoud een van de volgende gebruikerskenmerkfuncties bevatten:
USERATTRIBUTE('attribute_name')USERATTRIBUTEINCLUDES('attribute_name', 'expected_value')
Welke functie de auteur van de inhoud gebruikt, hangt ervan af of de gebruikerskenmerken één waarde of meerdere waarden moeten retourneren. Zie Gebruikersfuncties(Link wordt in een nieuw venster geopend) in de Tableau Help voor meer informatie over deze functies en voorbeelden.
Opmerkingen:
- Wanneer u in Tableau Desktop of Tableau Cloud ontwerpt is er geen voorbeeld van de inhoud met deze functies beschikbaar. De functie retourneert in dat geval NULL of FALSE. Om er zeker van te zijn dat de gebruikersfuncties werken zoals verwacht, raden we de auteur aan de functies te controleren nadat deze de inhoud beschikbaar heeft gesteld.
- Om te zorgen dat de inhoud wordt weergegeven zoals verwacht, kan de auteur van de inhoud overwegen een berekening op te nemen waarbij
ExtraAttributesRemovedwordt toegepast om 1) te controleren op dit kenmerk en 2) te bepalen wat er met de inhoud moet gebeuren als dit het geval is, zoals bijvoorbeeld een bericht weergeven. Tableau voegt alleen het kenmerkExtraAttributesRemovedtoe. Alle andere kenmerken (behalvescpofscope) worden verwijderd wanneer de kenmerken in de SAML XML langer zijn dan 4096 tekens. Zo worden optimale prestaties gegarandeerd en worden de opslagbeperkingen gerespecteerd.
Voorbeeld
We gaan nu door met het bovenstaande voorbeeld uit Stap 2: Gebruikerskenmerken opnemen in de assertie. Als de auteur de assertie 'Regio' wilt doorgeven aan een werkmap, kan de auteur het volgende opnemen: USERATTRIBUTEINCLUDES. Bijvoorbeeld USERATTRIBUTEINCLUDES('Region', [Region]), waarbij 'Region' het gebruikerskenmerk is en [Region] een kolom in de data. Met de nieuwe berekening kan de auteur een tabel maken met data voor de manager en voor de verkoop. Wanneer de berekening wordt toegevoegd, retourneert de werkmap zoals verwacht de waarde 'False'.
Om alleen de data weer te geven die zijn gekoppeld aan de regio Zuid in de ingesloten werkmap, kan de auteur een filter maken en dit aanpassen om waarden weer te geven wanneer de regio Zuid op 'True' staat. Wanneer dit filter wordt toegepast, wordt de werkmap zoals verwacht leeg, omdat de functie 'False'-waarden retourneert en het filter is aangepast om alleen 'True'-waarden weer te geven.
Stap 4: De inhoud controleren
Controleer en valideer de inhoud.
Voorbeeld
Laten we nu het voorbeeld van Stap 3: Zorg ervoor dat de auteur van de inhoud kenmerkfuncties opneemt afsluiten. Hierboven kunt u zien dat de verkoopdata in de weergave zijn aangepast aan Fred Suzuki omdat zijn gebruikerscontext de regio Zuid is.
Als het goed is, zien managers uit de regio's die in de werkmap voorkomen de waarde die aan hun regio is gekoppeld. Sawdie Pawthorne uit de regio West ziet bijvoorbeeld data die specifiek zijn voor haar regio.
Managers waarvan de regio's niet in de werkmap zijn opgenomen, zien een lege werkmap.
Bekende problemen en beperkingen
Er zijn een aantal bekende problemen en beperkingen waarmee u rekening moet houden als u met functies voor gebruikerskenmerken werkt.
Lege afbeeldingen bij gebruik van de Tableau REST API
Bij de Tableau REST API-aanvragen Query uitvoeren op voorbeeldafbeelding(Link wordt in een nieuw venster geopend), Query uitvoeren op werkmapafbeelding(Link wordt in een nieuw venster geopend) en Afbeelding van een aangepaste weergave ophalen(Link wordt in een nieuw venster geopend) worden lege afbeeldingen gegenereerd.
Beperkingen
- Functies voor gebruikerskenmerken worden niet ondersteund in gepubliceerde databronnen (.pds).
- Functies voor gebruikerskenmerken worden niet ondersteund in Tableau Bridge-workflows.