Configurar SCIM com OneLogin
É possível configurar o gerenciamento de usuários pelo OneLogin, provisionar grupos e atribuir funções de site do Tableau Cloud. Se você ainda não estiver familiarizado com as funções no site do Tableau e os recursos que cada uma delas permite, consulte Definir funções dos usuários no site.
Enquanto conclui estas etapas, talvez também seja útil ter a documentação do OneLogin à mão. Comece com Introdução ao provisionamento de usuários(O link abre em nova janela) na documentação do OneLogin.
Etapa 1: executar os pré-requisitos
O recurso de SCIM requer que você configure seu site para suportar o logon único de SAML (SSO).
Preencha as seguintes seções em Configurar SAML com OneLogin(O link abre em nova janela):
Após concluir as etapas dessas duas seções, permaneça conectado ao portal OneLogin e ao Tableau Cloud, com as seguintes páginas exibidas:
No Tableau Cloud, a página Configurações > Autenticação.
No portal OneLogin, a página Configuração.
Etapa 2: ativar suporte SCIM
Use as etapas a seguir para habilitar suporte SCIM com OneLogin. Consulte também a seção abaixo Observações e limitações do suporte SCIM com o OneLogin.
Observação: lembre-se de clicar em Salvar no canto superior direito do portal OneLogin após fazer as alterações na configuração.
Entre no seu site do Tableau Cloud como administrador do site e selecione Configurações > Autenticação.
Faça o seguinte:
Na página Autenticação, em Sincronização de Grupos e Provisionamento Automático (SCIM), marque a caixa de seleção Ativar SCIM.
Isso preenche as caixas URL base e Segredo com os valores que serão usados na configuração SCIM do IdP.
Importante: o token de segredo é exibido apenas assim que é gerado. Caso o perca antes de aplicá-lo ao IdP, é possível selecionar Gerar novo segredo. Além disso, o token de segredo está ligado à conta de usuário do Tableau Cloud do administrador de site que habilita o suporte ao SCIM. Se essa função no site do usuário for alterada ou o usuário for removido do site, o token de segredo se torna inválido e outro administrador de site deve gerar um novo token de segredo e aplicá-lo ao seu IdP.
Copie o valor do token secreto.
No portal OneLogin, na página Configuração, faça o seguinte:
Em Status de API, clique em Habilitar.
Em Token de portador SCIM, cole o token secreto SCIM do Tableau Cloud copiado anteriormente.
Em URL base SCIM, copie e cole a URL base mostrada nas configurações SCIM do Tableau Cloud.
Na página Provisionamento, faça o seguinte:
Selecione Ativar provisionamento.
Selecione Suspender para Quando os usuários forem excluídos no OneLogin ou o acesso ao aplicativo do usuário for removido, execute a ação abaixo.
Clique em Salvar.
(Opcional) Na página Parâmetros, mapeie o nome de usuário SCIM para o atributo E-mail. Se você não mapear o nome de usuário SCIM para um atributo no formato de endereço de e-mail, será necessário preencher manualmente esse campo para cada usuário como parte do processo de provisionamento.
Um erro será exibido ao provisionar usuários se o valor mapeado não contiver o endereço de e-mail do usuário.
Se você quiser concluir as etapas de provisionamento de usuários e grupos, mantenha-se conectado ao portal OneLogin e prossiga para a próxima seção.
Etapa 3: provisionar usuários e grupos
O OneLogin oferece várias maneiras de atribuir atributos de usuário, como grupos ou funções no site. Você pode aplicá-las no nível de aplicativo do Tableau Cloud, criar regras de mapeamento ou aplicá-las manualmente a usuários individuais.
Antes de começar, é importante observar que o conceito de grupos do OneLogin funciona de maneira diferente do conceito de grupos do Tableau. No OneLogin, os grupos funcionam como limites de segurança para aplicar políticas de segurança específicas aos usuários. Por isso, os usuários só podem pertencer a um grupo por vez.
Além disso, o OneLogin usa funções como um contêiner para aplicativos que diferentes grupos de usuários podem acessar. Depois de atribuir uma função aos usuários, você concede a eles acesso a todos os aplicativos incluídos na função. Isso é semelhante ao conceito de grupos do Tableau. Os usuários podem ter várias funções no OneLogin, que podem ser mapeadas para um grupo de aplicativos de destino, como Tableau Cloud .
Observação: as etapas a seguir pressupõem que você esteja conectado ao portal OneLogin e ao aplicativo Tableau Cloud. Essas etapas fornecem algumas informações específicas do Tableau que você pode usar com a documentação do OneLogin para o mapeamento de atributos de grupo e função no site para os usuários.
Provisionar um usuário
Use as etapas a seguir para fornecer usuários individuais ao Tableau Cloud através do portal OneLogin.
Vá para a guia Usuários e selecione o usuário que você deseja provisionar. Isso abre a página de configurações do usuário.
No menu de navegação esquerdo, selecione Aplicativos.
Na página Aplicativos, clique no ícone de adição (+) para provisionar o usuário para seu aplicativo do Tableau Cloud e clique em Continuar.
Insira o apropriadoTableau Cloud função do site para o usuário no campo Função no site. Para obter mais informações sobre as funções de site, consulte Definir funções dos usuários no site(O link abre em nova janela).
Clique em Salvar.
Provisionar vários usuários com funções OneLogin
Você pode provisionar vários usuários para o Tableau Cloud atribuindo funções no OneLogin. Os usuários podem ser adicionados a funções manualmente ou automaticamente usando mapeamentos.
Para adicionar usuários locais a uma função:
Vá para Usuários > Funções e selecione uma função existente ou crie uma Nova Função. Para obter mais informações, consulte o artigo do OneLogin: Funções(O link abre em nova janela).
O exemplo a seguir mostra a função "Vendas" que usaremos posteriormente como grupo no Tableau Cloud.
Na página Aplicativos, atribua o acesso de função ao aplicativo do Tableau Cloud. Isso deve provisionar os usuários associados ao aplicativo automaticamente.
Na página Usuários, você pode adicionar usuários a uma função manualmente inserindo seu nome e sobrenome ou adicionar um mapeamento para adicionar usuários automaticamente a uma função com base em atributos específicos - como seu grupo do Active Directory, por exemplo.
Depois de adicionar usuários a funções, recomendamos que você crie regras no aplicativo para atribuir uma função no site do Tableau Cloud com base na função OneLogin. Para obter mais informações, consulte o artigo do OneLogin Configurar aplicativos(O link abre em nova janela).
Na captura de tela abaixo, os usuários com a função "Vendas" receberão a função no site Creator no Tableau Cloud. Da mesma forma, os usuários com a função “Marketing” receberão a função de site de Viewer.
Adicionar usuários aos grupos do Tableau Cloud existentes
Importe grupos do Tableau Cloud para o OneLogin e especifique os grupos que você deseja que sejam selecionados por padrão na caixa de diálogo de provisionamento de usuários.
Na página Parâmetros, clique em Grupos e marque a caixa de seleção Incluir em provisionamento de usuários.
Vá até a página Provisionamento e, na seção Direitos, clique em Atualizar.
Esse procedimento importa os grupos do Tableau Cloud.
Volte para a página Parâmetros e selecione os grupos que você deseja mostrar como valores selecionados na caixa de diálogo de provisionamento de usuários.
Para alterar os membros do grupo, vá até a página Usuários, selecione um usuário e, na seção Grupos, modifique os valores disponíveis e selecionados.
Você também pode criar mapeamentos que colocam os usuários em grupos automaticamente, com base nas condições definidas por você. Para obter mais informações, consulte o artigo do OneLogin: Mapeamentos(O link abre em nova janela).
Criar grupos no Tableau Cloud do OneLogin
Use as etapas a seguir para criar grupos do Tableau Cloud com base em atributos nos mapeamentos do OneLogin. Por exemplo, criar um grupo no Tableau Cloud com base nas funções do usuário.
Vá para Aplicativos, selecione o aplicativo Tableau Cloud e, em seguida, Regras.
Na página Regras, clique em Adicionar regra para abrir a janela de edição de mapeamento.
Em Ações, selecione Definir grupos no menu suspenso e selecione Mapear de OneLogin.
O campo de condições com valor que corresponde usa expressões regulares. Se você quiser criar um grupo no Tableau Cloud que corresponda ao nome da função no OneLogin, digite
.*no campo de texto.
Atribuir funções no site do Tableau
Por padrão, os usuários recebem a função de site Viewer (Visualizador), que assume uma licença Viewer (Visualizador).
Seja qual for o método usado no OneLogin para atribuir funções no site, em algum momento você precisará inserir o nome da função no site em uma caixa de texto. Para obter os valores permitidos que você pode digitar, consulte Valores válidos de funções no site do Tableau abaixo.
Veja algumas formas possíveis de atribuir funções no site
Para usuários individuais:
Na página Usuários, selecione o usuário e navegue até a guia Aplicativos. Selecione o aplicativo correspondente do Tableau Cloud.
Nas configurações do usuário, digite o nome da função do site na caixa de texto Função no site.
Para um conjunto de usuários:
Na página Parâmetros, clique em Função no site e, para Valor, selecione uma das opções para atribuir o atributo de função no site.
Por exemplo:
Se todos os usuários tiverem a mesma função no site, selecione Macro e insira o nome da função no site.
Se o diretório do usuário do OneLogin incluir a função no site, selecione o atributo correspondente.
- Na página Regras, crie uma regra que mapeie uma função para uma função específica no Tableau Cloud.
Quando terminar de atribuir a função no site, clique em Salvar.
Valores válidos de funções no site do Tableau
Na página Provisionamento do portal OneLogin, os valores de funções no site que você pode inserir são baseados nas funções de licenças atuais ou herdadas.
Funções de licenças atuais incluem os seguintes valores de função no site:
Creator, Explorer, ExplorerCanPublish, ReadOnly, ServerAdministrator, SiteAdministratorExplorer, SiteAdministratorCreator, Unlicensed ou Viewer.
Tipos de licenças herdadas (pré-v2018.1) vêm com as seguintes funções no site:
Interactor, Publisher, ServerAdministrator, SiteAdministrator, Unlicensed, UnlicensedWithPublish, Viewer ou ViewerWithPublish
Para saber os efeitos da alteração de atributos de usuário ou aprender a redefinir atributos de usuário individuais alterados manualmente, consulte o artigo do OneLogin Atributos de provisionamento: o efeito de padrões, regras e entrada manual(O link abre em nova janela).
Observações e limitações do suporte SCIM com o OneLogin
É necessário adicionar um aplicativo Tableau Cloud separado para cada site que deseja gerenciar usando o SCIM.
Ao desprovisionar ou remover usuários existentes do aplicativo Tableau Cloud no OneLogin, o usuário é convertido em uma função de site Sem licença no Tableau Cloud caso tenha algum ativo de conteúdo. Se o usuário for proprietário de conteúdo, primeiro você deverá reatribuir a propriedade desses ativos de conteúdo antes de poder excluir manualmente o usuário no Tableau Cloud.
O uso de SCIM com Atribuição de licença no logon não é compatível e pode resultar em funções de site provisionadas incorretamente para usuários ou grupos.