Version: Hinzugefügt in Version 2026.3.0.

Ab Version 2026.3.0 von Tableau Server haben Serveradministratoren die Möglichkeit, die von Tableau Server verwendeten selbstsignierten Zertifikate durch benutzerdefinierte Zertifikate zu ersetzen.Wenn Sie Tableau Server für die Verwendung benutzerdefinierter Zertifikate konfiguriert haben und dann Probleme mit dem Koordinationsdienst auftreten (beispielsweise aufgrund eines abgelaufenen Zertifikats, eines nicht übereinstimmenden Schlüssels oder einer vom Kunden bereitgestellten Kette, die nicht mehr validiert werden kann), müssen Sie besondere Maßnahmen ergreifen, um das Problem zu beheben, ohne dass eine Neuinstallation von Tableau Server und eine Wiederherstellung einer vorhandenen Sicherung erforderlich sind.Weitere Informationen zur Verwendung benutzerdefinierter Zertifikate für die interne Dienstkommunikation finden Sie unter Konfiguration interner benutzerdefinierter Zertifikate für Tableau Server.

Verwenden Sie das knotenspezifische Tool recover-coordination-service-cert, um das mTLS-Zertifikat- und Schlüsselmaterial des Koordinationsdienstes (ZooKeeper) direkt auf dem Datenträger zu ersetzen.Sie müssen auf jedem Knoten dasselbe Server- und Client-Zertifikat/Schlüssel-Paar anwenden.

Voraussetzungen

• Sie müssen das Tool auf einem vorhandenen Tableau Server-Knoten als root oder als nicht privilegierter ausführender Tableau-Benutzer ausführen.

• Halten Sie ein Server-Zertifikat/Schlüssel-Paar und ein Client-Zertifikat/Schlüssel-Paar bereit.Optionale Zertifikatkettendateien und Passphrasen für verschlüsselte Schlüssel werden unterstützt.

Wiederherstellen des benutzerdefinierten Zertifikats

1. Wenn Sie noch kein Zertifikat haben, generieren Sie einmalig – auf einem einzelnen Knoten – ein neues selbstsigniertes Paar, und kopieren Sie die identischen Dateien auf jeden Knoten.Das Paar sollte das wiedergeben, was TSM intern generiert (EC P-256, selbstsigniert, CN=*):

   openssl req -x509 -newkey ec -pkeyopt ec_paramgen_curve:prime256v1 -days 1825 -nodes -subj "/CN=*" -keyout server.key -out server.crt

   openssl req -x509 -newkey ec -pkeyopt ec_paramgen_curve:prime256v1 -days 1825 -nodes -subj "/CN=*" -keyout client.key -out client.crt

   Um einen mit einer Passphrase verschlüsselten Schlüssel zu erstellen, lassen Sie -nodes weg.OpenSSL fordert Sie zur Eingabe einer Passphrase auf, die Sie dann mit der entsprechenden Option --server-passphrase oder --client-passphrase übergeben.

2. Führen Sie das Wiederherstellungstool auf dem Primärknoten aus.Beginnen Sie mit einem Knoten, auf dem der Koordinationsdienst gehostet wird, damit das Quorum neu gebildet werden kann:

   recover-coordination-service-cert --server-cert server.crt --server-key server.key --client-cert client.crt --client-key client.key [--server-chain <file.crt>] [--client-chain <file.crt>] [--server-passphrase <passphrase>] [--client-passphrase <passphrase>]

   Das Tool validiert die Eingaben vorab, bevor es irgendetwas anhält: Es bestätigt, dass das Zertifikat als X.509 analysiert werden kann, dass eine angegebene Passphrase den Schlüssel entschlüsselt und dass das erste Zertifikat in einer angegebenen Kette der Aussteller des Endzertifikats ist.Anschließend stoppt es die lokalen Dienste, aktualisiert die Konfiguration und den Schlüsselspeicher jedes Dienstes und startet die Steuerungsebene neu (zuerst ZooKeeper, dann den Verwaltungsagenten, dann den Rest).

3. Führen Sie auf jedem verbleibenden Knoten genau denselben Befehl mit den identischen Zertifikats- und Schlüsseldateien aus.Stellen Sie zuerst die Knoten wieder her, auf denen der Koordinationsdienst gehostet wird, und stellen Sie dann alle verbleibenden Knoten wieder her.Der Cluster wird erst wiederhergestellt, wenn das Tool auf jedem Knoten ausgeführt wurde – Knoten, auf denen sich noch der alte Schlüsselspeicher befindet, treten dem Cluster nicht wieder bei.

   Hinweis: In dieser Phase zeigt tsm status Geschäftsdienste in einem Fehlerzustand an.Dies ist das erwartete Verhalten.Das Tool aktualisiert die Dienste, lässt sie jedoch angehalten.Erst der Befehl set im nächsten Schritt fährt sie hoch.

4. Nachdem alle Knoten abgeschlossen sind, führen Sie den folgenden set-Befehl einmal von dem Controller- oder Primärknoten aus, um die erhalten gebliebene Konfiguration des Koordinationsdienstes mit dem aktuellen Stand auf dem Datenträger zu synchronisieren:

   tsm security coordination-service-internal-cert set --server-cert server.crt --server-key server.key --client-cert client.crt --client-key client.key [--server-chain <file.crt>] [--client-chain <file.crt>] [--server-passphrase <passphrase>] [--client-passphrase <passphrase>]

   Das Wiederherstellungstool gibt diesen Befehl für Sie aus, vorab ausgefüllt mit den Pfaden, die Sie übergeben haben.Es erinnert Sie daran, die Passphrase-Optionen erneut hinzuzufügen, gibt den Passphrase-Wert jedoch nie aus.Die Kurzschluss-Funktion des Befehls bei identischen Zertifikaten synchronisiert die Konfiguration und fährt den gesamten Cluster – einschließlich der gestoppten Geschäftsdienste – wieder hoch, wodurch der Fehlerzustand behoben wird.

Fehlerbehebung: Bei jeder Ausführung wird ein strukturiertes Protokoll in ${TABLEAU_SERVER_DATA_DIR}/logs/app-recover-coordination-service-cert.log geschrieben.

Hinweis: Unter Windows verwendet ein äquivalenter Wrapper (recover-coordination-service-cert.cmd) dieselben Optionen und verhält sich auf dieselbe Weise.