Use seu próprio provedor de identidade com o Amazon Athena
A partir do Tableau 2023.2, você pode usar o OAuth 2.0/OIDC para federar a identidade de um provedor de identidade externo para o Amazon Athena.
Dependendo do fornecedor de identidade, existem diferentes passos necessários para configurar a integração. O Tableau fornece apenas instruções detalhadas sobre como configurar os produtos Tableau. Este documento fornece uma visão geral resumida do processo de configuração.
Observação:etapas e links que estão fora do conteúdo do Tableau e do Salesforce podem não ser atualizados ou precisos.
Configurar o provedor de identidades (IDP)
Crie clientes OAuth no IDP para Tableau Desktop e Tableau Server. O cliente Desktop habilita PKCE e usa redirecionamentos http://localhost.
Adicione declarações personalizadas para autorização de funções.
Crie o arquivo de configuração do Tableau OAuth. Veja a documentação em GitHub e os exemplos aqui. Certifique-se de prefixar as IDs de configuração do Tableau OAuth com “custom_”.
Instale os arquivos de configuração do Tableau OAuth em computadores com Tableau Desktop, Tableau Server e sites do Tableau Cloud.
Configurar o IDP na AWS
Crie a entidade IDP. Veja os documentos da Amazon Federação de Identidade Web, Criar provedor de identidade OIDC.
Criar funções e políticas especificamente para o PDI. Confira Criar função para OIDC nos documentos da AWS.
Configurar funções para Athena
Anexe as políticas necessárias para o Athena. Há muitas maneiras de fazer isso, uma delas é usar declarações personalizadas. Você pode usar declarações personalizadas no token openID para autorizar funções. Essas funções recebem acesso a outros recursos. Para obter mais informações, consulte:
Tutorial: Configuração do acesso federado para usuários do Okta ao Athena usando Lake Formation e JDBC.
Acesso refinado a bancos de dados e tabelas no AWS Glue Data Catalog.
Conectar-se ao Athena
O usuário deve especificar a função ARN a ser assumida e, em seguida, selecionar a configuração do OAuth instalada anteriormente.
Quando configurado corretamente, o usuário é redirecionado ao IDP para autenticar e autorizar tokens para o Tableau. O Tableau recebe tokens openid e de atualização. A AWS é capaz de validar o token e a assinatura do IDP, extrair o declarações do token, pesquisar o mapeamento do usuário para a função IAM e permitir ou bloquear o Tableau de assumir a função em nome do usuário.
Exemplo: AssumeRoleWithWebIdentity
Tokens
Por padrão, o Athena OAuth IAM passa o token de ID ao driver. Para clientes locais, incluindo aqueles que usam o Tableau Bridge, você pode usar um arquivo TDC para transmitir o token de acesso.
<connection-customization class='athena' enabled='true' version='10.0'>
<vendor name='athena' />
<driver name='athena' />
<customizations>
<customization name='CAP_OAUTH_FEDERATE_ACCCESS_TOKEN' value='yes'/>
</customizations>
</connection-customization>
Para obter mais informações sobre como configurar e instalar arquivos .tdc, consulte Personalizar e ajustar uma conexão(O link abre em nova janela) e Usar um arquivo .tdc com o Tableau Server(O link abre em nova janela).
Configuração do Okta
Se estiver usando o Okta, é melhor usar um “servidor de autorização personalizado” em vez do “servidor de autorização organizacional”. Os servidores de autorização personalizados são mais flexíveis. Existe um servidor de autorização personalizado criado por padrão, chamado “default”. A URL de autorização pode se parecer com os seguintes exemplos.
https://${yourOktaDomain}/oauth2/{authServerName}/v1/authorize
