Tableau Cloud 帮助

注意：

• 在执行此处介绍的步骤之前，您必须配置 OpenID 提供程序，如 针对 OpenID Connect 配置身份提供程序 中所述。需要单独的设置和应用程序集成才能为 Tableau Cloud 和 TCM 启用 OIDC 身份验证。
• 或者，您可以使用 Tableau REST API 通过 OpenID Connect 方法(链接在新窗口中打开)为 Tableau Cloud 配置 OIDC 身份验证。注意：仅适用于 Tableau Cloud。
• 对于 Tableau Cloud，Tableau REST API 和 tabcmd 不支持 OIDC 单点登录 (SSO)。若要使用 tabcmd 或 Tableau REST API(链接在新窗口中打开)，用户必须使用个人访问令牌 (PAT) 登录到 Tableau Cloud。
• 对于 TCM，Tableau Cloud Manager REST API 不支持 OIDC SSO。若要使用 TCM REST API(链接在新窗口中打开)，用户必须使用 PAT 登录 TCM。

要求

参数

• 客户端 ID：此值由 IdP 颁发，并指定已注册 Tableau Cloud 或 TCM 的标识符。这使得 IdP 能够知道身份验证请求来自哪里。

• 客户端密文：这是 Tableau Cloud 或 TCM 用于验证来自 IdP 的响应的真实性的令牌。此值应妥善保管。

• 配置 URL：此值指定对用户进行身份验证后 IdP 重定向到的 URL。URL 必须包括主机和协议（例如，https://admin.okta.com/oauth2/default/.well-known/openid-configuration），但 Tableau 会提供 URL 端点。此 URL 指定包含 OpenID 提供程序元数据的提供程序配置发现文档的位置。

  注意：如果您的 IdP 未提供配置 URL，请使用以 .well-known/openid-configuration 结尾的 URL。对于 Tableau Cloud，请考虑使用 Tableau REST API 中的 OpenID Connect 身份验证方法(链接在新窗口中打开)配置 OIDC。

可选参数

注意：仅适用于 Tableau Cloud。

可以使用 Tableau REST API 中的 OpenID Connect 身份验证方法(链接在新窗口中打开)配置以下可选参数。

• 提示：提示用户重新认证并同意。默认情况下，用户同意处于打开状态。

• 自定义范围：用于查询 IdP 的自定义范围用户相关值。

• 客户端身份验证：令牌端点身份验证方法。默认值为 'client_secret_basic'。支持值 'client_secret_post'。

• 基本 ACR 值：用于身份验证的基本身份验证上下文参考类值的列表。

• 自愿 ACR 值：用于身份验证的自愿身份验证上下文参考类值的列表。

声明

若要成功登录到 Tableau Cloud 或 TCM，必须在 OpenID Connect (OIDC) IdP 中预置给定用户，然后将其映射到 Tableau Cloud 或 TCM 上的用户帐户。OIDC 使用依赖于声明的方法与其他应用程序共享用户帐户属性。Tableau Cloud 或 TCM 依赖于 IdP 声明将 IdP 中的用户帐户映射到 Tableau Cloud 或 TCM 上托管的用户帐户。声明包括用户帐户属性，例如电子邮件、名字等。若要了解 Tableau Cloud 或 TCM 如何将 IdP 声明映射到用户帐户，请参见身份验证概述。

注意：声明区分大小写。

• 用户名：默认情况下，Tableau 期望 IdP 传递用户名声明。根据您的 IdP，您可能需要将 Tableau Cloud 配置为使用其他 IdP 声明。注意：Tableau 中的用户名是不可变的，无法随时更新。

• 姓名声明：您可以指定姓名或姓氏来检索用户的 DisplayName。

• 电子邮件声明：（可选）从 2025 年 7 月开始，您可以指定不同于用户名的电子邮件地址。电子邮件地址声明仅用于通知目的，不用于登录。

启用 OIDC 单点登录

步骤 1：配置 OpenID Connect

对于 Tableau Cloud

1. 以站点管理员身份登录到 Tableau Cloud 并选择“设置”>“身份验证”。

2. 在“身份验证”选项卡上，单击“新配置”按钮，选择“OpenID Connect (OIDC)”，然后输入配置的名称。

3. 按照以下步骤，通过执行以下操作来配置 Tableau Cloud 以进行 OIDC 身份验证：

   1. 在步骤 1 中，输入 IdP 提供的所需信息，包括客户端 ID、客户端密文和配置 URL。

   2. 在步骤 2 中，复制将粘贴到 IdP 门户中的 Tableau Cloud 重定向 URL，以在用户进行身份验证后重定向用户。

   3. 在步骤 3 中，输入声明以确保用户用户名和显示名称的正确映射。

   4. 在步骤 4 中，如果您的 IdP 支持，可以选择启用单点注销 (SLO)。

   5. 在步骤 5 中，可以选择用户在访问嵌入视图时进行身份验证的方式：在单独的弹出窗口中或使用内联 iFrame。

      注意：您可以在“身份验证”页面上的“嵌入视图的默认身份验证类型”部分（位于 OIDC 配置步骤下方）下选择嵌入视图的身份验证类型。

4. 完成后，单击“保存更改”按钮。

注意：编辑 OIDC 配置时，客户端密文是隐藏的，需要重新输入才能保存任何更改。

对于 TCM

1. 以云端管理员身份登录到 TCM，并选择“设置”>“身份验证”。

2. 在“身份验证”选项卡上，选中“启用其他身份验证方法”复选框。

3. 从下拉菜单中选择“OpenID Connect (OIDC)”，并单击“配置（必需）”下拉箭头。

4. 按照相关步骤，通过执行以下操作来配置 TCM 以进行 OIDC 身份验证：

   1. 在步骤 1 中，输入 IdP 提供的所需信息，包括客户端 ID、客户端密文和配置 URL。

   2. 在步骤 2 中，复制将粘贴到 IdP 门户中的 TCM 重定向 URL，以在用户进行身份验证后重定向用户。

   3. 在步骤 3 中，输入声明以确保用户用户名和显示名称的正确映射。

   4. 在步骤 4 中，如果您的 IdP 支持，可以选择启用单点注销 (SLO)。

5. 完成后，单击“保存更改”按钮。

注意：编辑 OIDC 配置时，客户端密文是隐藏的，需要重新输入才能保存任何更改。

步骤 2：测试配置

我们强烈建议您测试配置以避免任何锁定情况。测试配置有助于确保在将用户的身份验证类型更改为 OIDC 之前正确配置了 OIDC。为了成功测试配置，请确保至少有一个您可以登录的用户，该用户已在 IdP 中预置并添加到 Tableau Cloud 或 TCM 中，并配置了 OIDC 身份验证类型。

注意：如果您不确定声明是什么，请完成配置并测试配置。测试配置将生成一个新窗口，其中包含声明映射详细信息，包括用户名和显示名称声明。某些 IdP 可能会将电子邮件地址映射到 Tableau 用户名。

对于 Tableau Cloud

1. 在选择 OpenID Connect (OIDC) 的“身份验证”选项卡上，在步骤 6 下单击“测试配置”按钮。将显示一个新窗口，其中包含有关配置的详细信息。

2. 完成后，按照以下步骤将用户添加到您的站点，从而完成 OIDC 设置。

对于 TCM

1. 在选择 OpenID Connect (OIDC) 的“身份验证”选项卡上，在步骤 5 下单击“测试配置”按钮。将显示一个新窗口，其中包含有关配置的详细信息。

2. 完成后，按照以下步骤将用户添加到您的租户，从而完成 OIDC 设置。

步骤 3：将用户添加到启用 OpenID Connect 的 Tableau 站点 或 TCM

本部分中描述的步骤是在 Tableau Cloud 或 TCM 的“用户”页面上执行的。

1. 完成上述步骤后，返回 Tableau Cloud 站点或 TCM。

2. 从左侧窗格中，选择“用户”页面。

3. 按照以下主题之一中描述的步骤进行操作：

   • 对于 Tableau Cloud，请参见向站点添加用户

   • 对于 TCM，请参见使用 Tableau Cloud Manager 管理用户

{
"iss":"https://myidp.okta.com/oauth2/default,
"sub": user,
"aud": "Tableau",
"email": "fsuzuki@example.com",
"email_verified": true,
"name": "Fred Suzuki",
"region": "South"
}