設定活動記錄

套用到： Tableau Advanced Management

重要提示：在 2026 年 3 月 16 日至 3 月 31 日期間，Tableau Cloud 中的活動記錄檔功能已移轉至 Hyperforce。有關所需的原則更新和新資料夾結構的詳細資訊，請參閱關於 Hyperforce 移轉。

活動記錄包含 Tableau 部署的詳細事件，可用於合規性、監控和稽核。必須完成以下步驟方可使用活動記錄。

必要條件

必須滿足以下條件方可使用活動記錄：

配備 Advanced Management 的 Tableau Cloud
Amazon Web Services (AWS) 帳戶
用於接收資料的 Amazon Simple Storage Service (S3) 貯體
- 在設定過程中要建立一個 Amazon S3 貯體。Amazon S3 目前是直接雲端儲存同步整合的唯一支援選項。
- 必須在託管 Tableau Cloud 站台的同一 AWS 區域中建立 Amazon S3 貯體。有關資料位置的更多資訊，請參閱雲端中的安全性(連結在新視窗開啟)和用於資料提供者授權的 IP 位址(連結在新視窗開啟)。
  重要提示：作為 Tableau Cloud 移轉到 Hyperforce 的一部分，歐洲 - 愛爾蘭區域的 Pod 已移轉至歐洲 - 德國區域。若您的站台駐留在歐洲 - 愛爾蘭 Pod 上，需要重新設定活動記錄檔，以使用新區域（歐洲 - 德國）中的 AWS S3 儲存貯體。有關更多資訊，請參閱下方歐洲 - 愛爾蘭 Pod 上站台的 AWS 區域變更。
設定過程中建立的 Amazon S3 貯體的 AWS Key Management Service (KMS) 單一區域金鑰。

關於 Hyperforce 移轉

2026 年 3 月，活動記錄檔功能已移轉至 Hyperforce，以增強合規性並改善安全性、隱私權和區域可用性。此基礎結構變更已將活動記錄檔移至區域架構，因此需要使用區域特定的 IAM 角色來傳遞記錄檔。

原則要求

S3、KMS 和 VPC 原則需要特定於託管站台之區域的 IAM 角色和 ID。這些區域特定的 Hyperforce 值會取代先前的 Tableau IAM 角色 (arn:aws:iam::061095916136:role/prod-replication-rule-role) 和 ID (AROAQ4OMZWJUBZG3DRFW5)。使用按區域劃分的角色對應資料表尋找適用於站台的正確值。

有關移轉的詳情，請參閱 Salesforce 說明中的由於 Hyperforce 移轉而導致的 Tableau Cloud 活動記錄檔變更(連結在新視窗開啟)。

資料夾結構

移轉至 Hyperforce 後，S3 儲存貯體中事件檔案的組織已更新為基於事件處理日期和時間的階層。

	移轉前	移轉後
儲存模式	`eventCategory={}/ts={}/FILE`	`y={}/m={}/d={}/h={}/eventType={}/FILE`
S3 路徑範例	`eventCategory=security/ts=20250802T064500Z/part-0-32708-online`	`y=2025/m=08/d=02/h=06/eventType=activity_log_settings_change/ActivityLog-88974c0f-d35a-4743-bd55-7fccce1d54a7-0-346425.txt`

事件屬性

Hyperforce 上記錄的活動記錄檔事件包含 eventProcessedTime 屬性。此屬性表示事件在活動記錄檔中可用時的大致時間戳記。有關詳細資訊，請參閱活動記錄檔站台事件類型參考。

步驟 1.建立 AWS 帳戶

如果還沒有 Amazon Web Services (AWS) 帳戶，則可以在 AWS 網站上註冊 AWS 帳戶(連結在新視窗開啟)。

步驟 2.建立 Amazon S3 貯體並設定權限

建立 Amazon S3 貯體接收您的記錄資料。更多資訊請參閱 AWS 網站上的建立貯體(連結在新視窗開啟)。
使用以下設定配置 Amazon S3 貯體：
1. 在「物件擁有者」下選取「停用的 ACL」（推薦）。這可確保貯體擁有者是寫入其中的所有物件的擁有者。
2. 在「貯體版本設定」下選取「啟用」。必須啟用貯體版本設定才能複制物件。
3. 在「預設加密」下選取「啟用」。
4. 選擇「AWS 金鑰管理服務 (SSE-KMS)」。
5. 選擇「輸入 AWS KMS 金鑰 ARN」。
6. 按一下出現的「建立金輪」按鈕建立新的 AWS 金輪管理服務 (KMS) 金鑰。
  附註：不支援 KMS 多區域金鑰。
7. 選取「對稱金輪」類型和「加密和解密金輪」用法。
8. 使用別名命名密鑰，然後單擊直到「檢閱」頁面。
9. 將此陳述式新增至金鑰原則「陳述式清單」中。使用按區域劃分的角色對應資料表尋找區域特定的角色，然後取代 HYPERFORCE-IAM-ROLE。
```
{
    "Sid": "AllowTableauS3ReplicationSourceRoleToUseTheKey",
    "Effect": "Allow",
    "Principal": {
        "AWS": [
            "HYPERFORCE-IAM-ROLE"
        ]
    },
    "Action": [
        "kms:GenerateDataKey",
        "kms:Encrypt"
    ],
    "Resource": "*"
}
```
  附註：此陳述式允許 Hyperforce IAM 角色加密放置在 Amazon S3 儲存貯體中的物件。有關更多資訊，請參閱 AWS 網站上的透過 AWS KMS 金鑰使用伺服器端加密 (SSE-KMS)(連結在新視窗開啟)。
  - 「kms:GenerateDataKey」用於生成資料金輪以加密物件副本。
  - 「kms:Encrypt」用於加密在目標 S3 貯體中建立的物件副本。
  - 「資源」：「*」僅將 KMS 金鑰的權限授予複製角色，不允許角色提升其權限。
10. 按一下「完成」建立 KMS 金鑰。
11. 按一下「建立貯體」建立 Amazon S3 貯體。
更新 Amazon S3 貯體原則的權限。

開啟 Amazon S3 貯體並按一下「權限」索引標籤。
找到「貯體原則」區段，然後按一下「編輯」。
將此陳述式新增至儲存貯體原則「陳述式清單」中。
- 將 S3-BUCKET-NAME 取代為儲存貯體的名稱。
- 使用按區域劃分的角色對應資料表尋找區域特定的角色，然後取代 HYPERFORCE-IAM-ROLE。
```
{
    "Sid": "TableauS3ReplicationRoleAccess",
    "Effect": "Allow",
    "Principal": {
        "AWS": [
            "HYPERFORCE-IAM-ROLE"
        ]
    },
    "Action": [
        "s3:ReplicateObject",
        "s3:ReplicateDelete"
    ],
    "Resource": [
        "arn:aws:s3:::S3-BUCKET-NAME",
        "arn:aws:s3:::S3-BUCKET-NAME/*"
    ]
}
```
附註：此陳述式允許 Hyperforce IAM 角色將物件複製到儲存貯體中。有關更多資訊，請參閱 AWS 網站上的在來源儲存貯體和目的地儲存貯體由不同 AWS 帳戶擁有時授與權限(連結在新視窗開啟)。
- 使用「*」和「<path> /*」對指定儲存貯體和儲存貯體路徑中的所有首碼授與存取權限。
- 「s3:ReplicateObject」和「s3:ReplicateDelete」權限是成功複製物件和刪除標記所需的最低權限。

可選。如果您的目標貯體含限制透過 Amazon Virtual Private Cloud (VPC) 端點存取的原則，則除了剛剛新增的 TableauS3ReplicationRoleAccess 外，還必須變更貯體原則。有關更多資訊，請參閱 AWS 網站上的如何僅允許特定 VPC 端點或 IP 位址存取我的 Amazon S3 儲存貯體？(連結在新視窗開啟)。

如果當前貯體原則包含這樣的 VPC 限制：

{
    "Sid": "Restricted VPC Access",
    "Effect": "Deny",
    "Principal": "*",
    "Action": "s3:*",
    "Resource": [
        "arn:aws:s3:::S3-BUCKET-NAME",
        "arn:aws:s3:::S3-BUCKET-NAME/*"
    ],
    "Condition": {
        "StringNotEquals": {
            "aws:SourceVpc": "vpc-<ID>"
        }
    }
}

然後編輯「條件」清單。使用按區域劃分的角色對應資料表尋找區域特定的角色和角色 ID，然後取代 HYPERFORCE-IAM-ROLE 和 HYPERFORCE-IAM-ROLE-ID。

"StringNotLike": {
    "aws:userId": ["HYPERFORCE-IAM-ROLE-ID:*"]
},
"ArnNotLike": {
    "aws:PrincipalArn": "HYPERFORCE-IAM-ROLE"
}

編輯後的原則如下所示：

{
    "Sid": "Restricted VPC Access",
    "Effect": "Deny",
    "Principal": "*",
    "Action": "s3:*",
    "Resource": [
        "arn:aws:s3:::S3-BUCKET-NAME",
        "arn:aws:s3:::S3-BUCKET-NAME/*"
    ],
    "Condition": {
        "StringNotLike": {
            "aws:userId": ["HYPERFORCE-IAM-ROLE-ID:*"]
        },
        "ArnNotLike": {
            "aws:PrincipalArn": "HYPERFORCE-IAM-ROLE"
        },
        "StringNotEquals": {
            "aws:SourceVpc": "vpc-<ID>"
        }
    }
}

此原則明確允許 Hyperforce IAM 角色執行 ReplicateObject 和 ReplicateDelete。它還會從現有的明確 VPC 拒絕陳述式中排除該角色。

按一下「儲存變更」。

按區域劃分的角色對應

設定 S3、KMS 和 VPC 原則時，使用此資料表尋找區域特定的角色和 ID。

位置		Hyperforce 區域	Pod（Pod 名稱）	Hyperforce IAM 角色	Hyperforce IAM 角色 ID
亞太地區	澳大利亞	ap-southeast-2	prod-apsoutheast-a	arn:aws:iam::667498515984:role/prod-replication-rule-role	AROAZW2QDBYIELBSU3VDC
	印度	ap-south-2	prod-in-a	arn:aws:iam::119877853097:role/prod-replication-rule-role	AROARX2KG36USNTHK2AAX
	印尼	ap-southeast-3	prod-apsoutheast-c	arn:aws:iam::892386869973:role/prod-replication-rule-role	AROA47RTHALKXJHOEM32G
	日本	ap-northeast-1	prod-apnortheast-a	arn:aws:iam::349070092441:role/prod-replication-rule-role	AROAVCRRS5CM6KOVJGVDJ
	新加坡	ap-southeast-1	prod-apsoutheast-b	arn:aws:iam::005102551263:role/prod-replication-rule-role	AROAQCMBCYDP4EQ7BSYPQ
	韓國	ap-northeast-2	prod-kr-a	arn:aws:iam::943538517075:role/prod-replication-rule-role	AROA5XL2HGRJVG2MZNCKD
加拿大	魁北克	ca-central-1	prod-ca-a	arn:aws:iam::075540750887:role/prod-replication-rule-role	AROARDFUUMITZCISXK6GD
歐洲	德國	eu-central-1	dub01 (DUB01)	arn:aws:iam::337853574888:role/prod-replication-rule-role	AROAU5KNEN3UM57STAJFK
	德國	eu-central-1	eu-west-1a (EW1A)	arn:aws:iam::337853574888:role/prod-replication-rule-role	AROAU5KNEN3UM57STAJFK
	瑞士	eu-central-2	prod-ch-a	arn:aws:iam::623102672691:role/prod-replication-rule-role	AROAZCE6QH4Z33FOSZXGJ
	英國	eu-west-2	prod-uk-a	arn:aws:iam::112108976196:role/prod-replication-rule-role	AROARUGRXHBCNE3KR64LZ
美國 - 西部	奧勒岡州	us-west-2	10ax (10AX)	arn:aws:iam::675003682462:role/prod-replication-rule-role	AROAZ2KK2Z2PMO2HWNLWH
			10ay (10AY)
			10az (10AZ)
			uw2b (UW2B)
			prod-uswest-c
美國 - 東部	維吉尼亞州	us-east-1	prod-useast-a	arn:aws:iam::792479604904:role/prod-replication-rule-role	AROA3RA3XECUCMUTXI34R
			prod-useast-b
			us-east-1 (useast-1)
			prod-useast-c

步驟 3.設定 Tableau Cloud

巡覽至您的 Tableau 站台。
在「設定」頁面中選取「整合」索引標籤。
在「活動記錄」區段選取「啟用」按鈕。
在「設定連線」對話方塊中輸入以下資訊：
1. 在「AWS 帳號」方塊中輸入您的 12 位的 AWS 帳號。這是與您的 Amazon S3 貯體位置關聯的 AWS 帳號。
2. 在「S3 貯體名稱」方塊中，輸入存儲活動記錄襠的 Amazon S3 貯體名稱。這是您在步驟 2.建立 Amazon S3 貯體並設定權限中建立的 Amazon S3 貯體。步驟 2.建立 Amazon S3 貯體並設定權限。這必須是滿足 AWS 貯體名稱要求的有效名稱。
3. 在「KMS 金鑰 ARN」方塊中，輸入您在步驟 2.建立 Amazon S3 貯體並設定權限中建立的 KMS 金鑰 Amazon 資源名稱 (ARN)。步驟 2.建立 Amazon S3 貯體並設定權限。ARN 中的帳號必須與所提供之 AWS 帳號匹配，並且格式有效（即 arn:aws:kms:<region>:<account-id>:key/<key-id>）。
按一下「提交」。
系統嘗試將文本檔案複製到目標 Amazon S3 貯體以測試連線時，連線狀態欄將顯示「進行中」。
將檔案成功複製到目標 Amazon S3 貯體後，連線狀態欄將顯示為「擱置驗證」狀態，並顯示一個小工具以輸入「測試文件內容」。您可能需要重新整理頁面才能看到更新。

驗證安全性檔案複寫

移至目標 Amazon S3 貯體，找到以 siteLuid 開頭的資料夾（名稱的其餘部分是站台的唯一識別碼）。
找到名為 SECURITY_VERIFICATION_FILE.txt 的文字檔。
下載並開啟該文字檔。
複製該檔案的文本內容。
返回「設定」頁面，在「文字檔內容」輸入欄位貼上該文字內容，然後按一下「提交」。
如果提交的內容正確，則連線狀態會變更為「使用中」。現已啟用活動記錄，資料將開始複寫到目標 Amazon S3 貯體。
如果提交的內容不正確，將顯示錯誤消息。檢查內容是否正確複製，沒有多餘的字元或空格。

疑難排解

沒有出現安全性驗證檔案？

由於 Amazon S3 的限制，該檔案最多可能需要 15 分鐘才能出現在目標 Amazon S3 貯體中。
如果連線狀態顯示為「進行中」，則檔案仍在嘗試複寫。更多資訊請參閱 AWS 網站上的疑難排解複寫(連結在新視窗開啟)。
連線狀態失敗意味著檔案無法成功複寫。
確認 Amazon S3 貯體原則和 AWS 金輪管理服務 (KMS) 金鑰原則的權限包含適當的陳述式。更多資訊請參閱 AWS 網站上的以下主題：

要求記錄檔到達 Amazon S3 貯體所需的其他設定

Amazon S3 貯體啟用了貯體版本控制（在屬性 > 貯體版本設定下）。
Amazon S3 貯體已啟用「封鎖全部公用存取」（在權限 > 封鎖全部公用存取（貯體設定）下）。
Amazon S3 貯體僅對“貯體所有者”具有以下 ACL 權限（在權限>存取控制清單 (ACL ) 下）：
- 對象：List，Write
- 貯體 ACL：Read，Write
KMS 密鑰權限原則包含步驟 2.建立 Amazon S3 貯體並設定權限，步驟 2.i。（在屬性 > 預設加密中按一下AWS KMS Key ARN下的 ARN 以轉到 KMS 金輪原則）。
Amazon S3 貯體啟用了預設加密，並啟用了貯體金輪（在「屬性」>「預設加密」下）。
Amazon S3 貯體權限原則（在「權限 > 貯體原則」下）與說明中的完全匹配。確保已使用剛剛建立的 Amazon S3 貯體取代示例值「S3-BUCKET-NAME」。

歐洲 - 愛爾蘭 Pod 上站台的 AWS 區域變更

從 2024 年 8 月到 2025 年 3 月，Tableau Cloud 站台將移轉至 Salesforce 的 Hyperforce(連結在新視窗開啟)。作為移轉的一部分，愛爾蘭地區的 Pod 正在移轉到德國地區。若您的站台駐留在愛爾蘭地區，則需要重新設定活動記錄檔，以使用新區域（德國）中的 AWS S3 儲存貯體。

返回頂端

感謝您的意見反應！

已成功提交您的意見回饋。謝謝！

Tableau Cloud 說明