Guida di Tableau Server su Linux

Tableau Server deve memorizzare una serie di segreti che utilizza per eseguire varie funzioni, in genere per garantire la sicurezza della comunicazione interna, la comunicazione con altre applicazioni o il sistema operativo, oppure per fornire una comunicazione sicura con i client. In questo contesto, il termine segreto può riferirsi a una password, un token o un’altra stringa usata per autenticare un’entità a un’altra.

Sono disponibili due categorie di segreti per l’esecuzione di Tableau Server. Si differenziano a seconda di come vengono generati i segreti:

• Segreti generati dagli amministratori. Queste includono le credenziali e i relativi segreti per l’account Utente Esegui come e le credenziali SMTP utilizzate da Tableau Server.
• Segreti che sono generati automaticamente da vari processi nel sistema. Ad esempio, è obbligatorio un segreto per proteggere la comunicazione tra il Controller Cluster e i processi di ZooKeeper. E sono obbligatorie diverse password per ogni servizio e utente programmatico che comunica con Postgres.

La maggior parte dei segreti sono crittografati a riposo. Quando un segreto è necessario, viene decrittografato in fase di esecuzione.

In questo argomento viene descritto il funzionamento dell’archiviazione dei segreti e le operazioni che devi eseguire per gestire correttamente l’archiviazione dei segreti su Tableau Server.

Informazioni sul funzionamento dell’archiviazione dei segreti

Durante l’installazione, Tableau Server genera e memorizza una chiave master in un archivio delle chiavi Java. La chiave master viene usata per crittografare una chiave di crittografia della configurazione utilizzata nel sistema.

Ogni volta che un nuovo segreto viene creato o aggiornato, il segreto viene crittografato con la chiave di crittografia della configurazione. Il valore criptato viene quindi archiviato con il corrispondente parametro di configurazione in un file YAML sul server. I parametri che contengono un valore crittografato usano il formato, ENC(<encrypted string>)dove <encrypted string> è una stringa con codifica Base64.

In fase di esecuzione, quando è necessario che tu acceda a un determinato segreto, i valori criptati vengono letti in memoria e decriptati con la chiave di crittografia della configurazione.

Nel caso di modifiche in sospeso dove i segreti vengono immessi durante la modifica di una configurazione, l’intera transazione viene crittografata. In questo scenario, dopo aver inserito un segreto e salvato le modifiche in sospeso, questo viene trasmesso al servizio di coordinazione (su SSL crittografato). Il servizio di coordinazione applica la crittografia al segreto e lo archivia fino all’applicazione delle modifiche in sospeso. Quando le modifiche vengono applicate, il segreto (ancora crittografato) viene innalzato alla versione di configurazione corrente.

Tableau Server crittografa i segreti con AES a 256 bit in modalità GCM. Le chiavi utilizzate per l’archiviazione sicura sono diverse dalle chiavi di risorse utilizzate per crittografare le credenziali del database incorporate prima che queste vengano archiviate nel repository.

Chi ha accesso alla chiave master?

Importare ed esportare le informazioni di configurazione

Tableau Services Manager introduce la possibilità di importare ed esportare le informazioni di configurazione usando l’tsm settings export.

Nota: questa versione di Tableau Server non supporta il ripristino delle informazioni di configurazione da un backup. Ti consigliamo invece di utilizzare i comandi di esportazione e importazione per eseguire il backup e il ripristino delle informazioni di configurazione.

Mentre i segreti di configurazione vengono crittografati quando memorizzati su disco internamente, quando la configurazione viene esportata in un file, i segreti vengono scritti in un file in testo normale. È compito dell’amministratore adottare misure per proteggere questo file. Sono disponibili diverse opzioni:

• Scrivi il file in un file system crittografato.
• Scrivi il file in una directory con restrizioni per utenti o gruppi specifici per le autorizzazioni del file system.
• Crittografa il file di output.

Proteggere i segreti per le operazioni di importazione ed esportazione

Archiviazione dei segreti della registrazione degli eventi

Gli eventi seguenti relativi all’archiviazione dei segreti vengono registrati:

• Generazione di nuove chiavi di crittografia
• Chiave di crittografia attivata o modificata
• Crittografia di un nuovo valore nel file di configurazione

Per maggiori informazioni sui file di log e su dove vengono archiviati, consulta Lavorare con i file di log.

Gestire i segreti

In qualità di amministratore di Tableau Server, il compito più importante relativo alla memorizzazione dei segreti è quello di aggiornare periodicamente i segreti. In alcuni casi (risoluzione dei problemi del server o controllo) potresti dover recuperare una password.

Per altre operazioni, ad esempio l’aggiornamento di versioni, il backup e il ripristino o l’aggiunta di nuovi nodi a un cluster, come indicato in precedenza, Tableau Server gestisce l’archiviazione dei segreti e i processi correlati automaticamente.

Aggiornare i segreti

Ti consigliamo di aggiornare periodicamente i segreti in base ai criteri di sicurezza dell’azienda.

Per aggiornare la chiave principale e i segreti generati automaticamente, esegui tsm security regenerate-internal-tokens.

Recuperare le password

In alcuni casi, potresti dover recuperare una password per la risoluzione dei problemi o altre operazioni. Ad esempio, potresti aver bisogno delle credenziali utente Postgres generate e crittografate da Tableau Server. In questi casi, puoi eseguire un comando tsm che consenta di recuperare e decrittografare la password.

Per recuperare una password, apri il prompt dei comandi e rilascia un comando tsm configuration get per uno dei parametri indicati nella tabella seguente.

Per recuperare ad esempio una password per l’utente Postgres, digita il comando seguente:

tsm configuration get -k pgsql.readonly_password

Il comando restituirà la password in testo non crittografato:

$ tsm configuration get -k pgsql.readonly_password

password