Nutzen des eigenen Identitätsanbieters mit Amazon Athena
Ab Tableau 2023.2 können Sie OAuth 2.0/OIDC verwenden, um Identitäten von einem externen Identitätsanbieter mit Amazon Athena zu verbinden.
Je nach Identitätsanbieter sind unterschiedliche Schritte zur Konfiguration der Integration erforderlich. Tableau bietet lediglich detaillierte Anweisungen zur Konfiguration von Tableau-Produkten. Dieses Dokument bietet einen allgemeinen Überblick über den Konfigurationsprozess.
Hinweis: Schritte und Links, die außerhalb der Tableau- und Salesforce-Inhalte liegen, sind möglicherweise nicht aktuell oder korrekt.
Konfigurieren des Identitätsanbieters (IDP)
Erstellen Sie OAuth-Clients auf dem IDP für Tableau Desktop und Tableau Server. Der Desktop-Client aktiviert PKCE und verwendet Weiterleitungen zuhttp://localhost.
Fügen Sie benutzerdefinierte Ansprüche für die Autorisierung von Rollen hinzu.
Erstellen Sie die Tableau OAuth-Konfigurationsdatei. Siehe die Dokumentation zu Github und diese Beispiele. Stellen Sie sicher, dass Sie den Tableau OAuth-Konfigurations-IDs "custom_" voranstellen.
Installieren Sie Tableau-OAuth-Konfigurationsdateien auf Tableau Desktop-Computern, Tableau Server und Tableau Cloud-Sites.
Konfigurieren des IDP auf AWS
Erstellen Sie die IDP-Entität. Siehe die Amazon-Dokumente Web Identity Federation, Erstellen eines OIDC-Identitätsanbieters.
Erstellen Sie Rollen und Richtlinien speziell für den IDP. Sehen Erstellen einer Rolle für OIDC in den AWS-Dokumenten.
Konfigurieren von Rollen für Athena
Fügen Sie die für Athena erforderlichen Richtlinien bei. Es gibt viele Möglichkeiten, dies zu erreichen. Eine Möglichkeit ist die Verwendung benutzerdefinierter Ansprüche. Sie können benutzerdefinierte Ansprüche im openID-Token verwenden, um Rollen zu autorisieren. Diesen Rollen wird Zugriff auf andere Ressourcen gewährt. Weitere Informationen finden Sie unter:
Lernprogramm: Konfigurieren des Verbundzugriffs für Okta-Benutzer auf Athena mithilfe von Lake Formation und JDBC.
Fein abgestufter Zugriff auf Datenbanken und Tabellen im AWS Glue Data Catalog.
Herstellen einer Verbindung zu Athena
Der Benutzer muss den zu übernehmenden Rollen-ARN angeben und dann die zuvor installierte OAuth-Konfiguration auswählen.
Bei ordnungsgemäßer Konfiguration wird der Benutzer zum IDP weitergeleitet, um Token für Tableau zu authentifizieren und zu autorisieren. Tableau erhält OpenID- und Refresh-Tokens. AWS ist in der Lage, das Token und die Signatur vom IDP zu validieren, die Ansprüche vom Token zu extrahieren, die Zuordnung von Ansprüchen zur IAM-Rolle abzurufen und Tableau die Übernahme der Rolle im Namen des Benutzers entweder zu erlauben oder zu blockieren.
Beispiel: AssumeRoleWithWebIdentity
Token
In der Standardeinstellung übergibt Athena OAuth IAM das ID-Token an den Treiber. Für lokale Kunden – inklusive von Kunden, die Tableau Bridge verwenden – können Sie stattdessen eine TDC-Datei verwenden, um das Zugriffstoken zu übergeben.
<connection-customization class='athena' enabled='true' version='10.0'>
<vendor name='athena' />
<driver name='athena' />
<customizations>
<customization name='CAP_OAUTH_FEDERATE_ACCCESS_TOKEN' value='yes'/>
</customizations>
</connection-customization>
Weitere Informationen über das Konfigurieren und Installieren von TDC-Dateien finden Sie unter Anpassen und Optimieren einer Verbindung(Link wird in neuem Fenster geöffnet) und Verwenden einer .tdc-Datei mit Tableau Server(Link wird in neuem Fenster geöffnet).
Okta-Konfiguration
Wenn Sie Okta verwenden, ist es besser, einen "benutzerdefinierten Autorisierungsserver" anstelle des "Organisationsautorisierungsservers" zu verwenden. Die benutzerdefinierten Autorisierungsserver sind flexibler. Standardmäßig wird ein benutzerdefinierter Autorisierungsserver erstellt, der "Standard" heißt. Die Autorisierungs-URL sieht wie das folgende Beispiel aus.
https://${yourOktaDomain}/oauth2/{authServerName}/v1/authorize
