Ayuda de Tableau Server en Linux

Tableau Server necesita almacenar varios secretos que usa para realizar diferentes funciones, como proteger las comunicaciones internas, comunicarse con otras aplicaciones o con el sistema operativo, o proporcionar una comunicación segura con los clientes. En este contexto, el término secreto puede hacer referencia a una contraseña, un token u otra cadena que se use para autenticar una entidad en otra.

Hay dos categorías de secretos que se necesitan para ejecutar Tableau Server. Se diferencian en la forma en que se generan los secretos:

• Secretos generados por los administradores. Son credenciales y secretos asociados de la cuenta Ejecutar como usuario y las credenciales SMTP usadas por Tableau Server.
• Secretos generados automáticamente por diferentes procesos en el sistema. Por ejemplo, se necesita un secreto para proteger la comunicación entre los procesos de ZooKeeper y el controlador del clúster. También pueden ser diferentes contraseñas necesarias para cada servicio y usuario de programación que se comunica con PostgreSQL.

La mayoría de los secretos están cifrados mientras están en reposo. Cuando se necesita un secreto, se descifra en tiempo de ejecución.

En este tema se describe cómo funciona el almacenamiento de los secretos y lo que necesita realizar para administrar correctamente el almacenamiento de los secretos en Tableau Server.

Información sobre el funcionamiento del almacenamiento de secretos

Durante la instalación, Tableau Server genera y almacena una clave maestra en un almacén de claves de Java. La clave maestra se usa para cifrar una clave de cifrado de configuración que se usa en todo el sistema.

Al crear o actualizar un secreto, este se cifra con la clave de cifrado de configuración. A continuación, el valor cifrado se almacena con el parámetro de configuración correspondiente en un archivo YAML en el servidor. Los parámetros que contienen un valor cifrado están en el formato ENC(<encrypted string>), donde <encrypted string> es una cadena cifrada con codificación Base64.

En tiempo de ejecución, cuando se necesita obtener acceso a un secreto específico, los valores cifrados se leen en la memoria y se descifran con la clave de cifrado de configuración.

Si hubiera cambios pendientes, en los que los secretos se introducen durante un cambio de configuración, toda la transacción se cifra. En este caso, después de introducir un secreto y guardar el cambio pendiente, el secreto se transmite al Servicio de coordinación (mediante SSL cifrado). El Servicio de coordinación cifra el secreto y lo almacena hasta que se aplican los cambios pendientes. Cuando se aplican los cambios, el secreto (aún cifrado) se promueve a la versión de configuración actual.

Tableau Server cifra los secretos con AES de 256 bits en el modo GCM. Las claves usadas para el almacenamiento seguro son distintas de las claves de activos que se usan para cifrar las credenciales de bases de datos incrustadas antes de almacenarlas en el repositorio.

¿Quién tiene acceso a la clave maestra?

Información de configuración de la importación y la exportación

Tableau Services Manager introduce la capacidad de importar y exportar información de configuración con tsm settings export.

Nota: Esta versión de Tableau Server no admite la restauración de la información de configuración a partir de una copia de seguridad. Se recomienda utilizar los comandos de configuración de exportación e importación para hacer una copia de seguridad de la información de configuración y restaurarla.

Mientras los secretos de configuración se cifran cuando se almacenan en el disco de manera interna, al exportar la configuración a un archivo, los secretos se escriben en el archivo con texto plano. Es decisión del administrador tomar medidas para proteger este archivo. Hay una serie de opciones disponibles:

• Escribir el archivo en un sistema de archivos cifrados.
• Escribir el archivo en un directorio restringido a determinados usuarios o grupos por permisos del sistema de archivos.
• Cifre el archivo de salida.

Proteger los secretos para las operaciones de importación y exportación

Registro de eventos del almacenamiento de secretos

Quedan registrados los siguientes eventos relacionados con el almacenamiento de secretos:

• Generar nuevas claves de cifrado
• La clave de cifrado se implementa o cambia
• Cifrar un nuevo valor en el archivo de configuración

Para obtener más información sobre los archivos de registro y dónde se almacenan, consulte Trabajar con archivos de registro.

Administración de secretos

Como administrador de Tableau Server, la tarea más importante relacionada con el almacenamiento de secretos es actualizar los secretos de forma periódica. En algunos casos (como la solución de problemas del servidor o auditorías), puede que necesite recuperar una contraseña.

Para otras operaciones, como actualizar versiones, realizar copias de seguridad y restauración, o añadir nodos a un clúster (como se indicó anteriormente), Tableau Server administra automáticamente el almacenamiento de secretos y los procesos relacionados.

Actualización de secretos

Debe actualizar los secretos de forma periódica, según la directiva de seguridad de su empresa.

Para actualizar la clave maestra y los secretos generados automáticamente, ejecute tsm security regenerate-internal-tokens.

Recuperar contraseñas

En algunos casos, puede que necesite recuperar una contraseña para solucionar un problema o realizar otras operaciones. Por ejemplo, puede que necesite las credenciales de usuario readonly de PostgreSQL generadas y cifradas por Tableau Server. En estos casos, puede ejecutar un comando tsm que recuperará y descifrará la contraseña automáticamente.

Para recuperar una contraseña, abra un símbolo del sistema y ejecute el comando tsm configuration get para uno de los parámetros que se indican en la tabla siguiente.

Por ejemplo, para recuperar una contraseña para el usuario readonly de PostgreSQL, escriba el comando siguiente:

tsm configuration get -k pgsql.readonly_password

El comando indicará la contraseña en texto no cifrado:

$ tsm configuration get -k pgsql.readonly_password

password