バージョン: バージョン 2026.3.0 で追加。

Tableau Server のバージョン 2026.3.0 以降、サーバー管理者は Tableau Server で使用される自己署名証明書をカスタム証明書に置き換えることができます。カスタム証明書を使用するように Tableau Server を構成した後に、調整サービスで問題が発生した場合 (たとえば、期限切れの証明書、キーの不一致、ユーザー提供の証明書チェーンを検証できなくなったなど)、Tableau Server を新たにインストールしたり、既存のバックアップを復元したりせずに問題を解決するには、特別な措置を講じる必要があります。内部サービス通信でカスタム証明書を使用する方法の詳細については、「Tableau Server の内部カスタム証明書の構成」を参照してください。

ノードごとに recover-coordination-service-cert ツールを使用して、調整サービス (ZooKeeper) の mTLS 証明書とキー マテリアルをディスク上で直接置き換えます。すべてのノードに同じサーバーおよびクライアントの証明書/キーのペアを適用する必要があります。

前提条件

• 既存の Tableau Server ノードで、root または権限のない Tableau 実行ユーザーとしてツールを実行する必要があります。

• サーバー証明書とキーのペアを 1 つ、クライアント証明書とキーのペアを 1 つ用意します。必要に応じて、チェーン ファイルと、暗号化されたキーのパスフレーズも指定できます。

カスタム証明書の復元

1. 証明書がまだない場合は、単一のノードで新しい自己署名ペアを一度生成し、すべてのノードに同一のファイルをコピーします。このペアは、TSM が内部で生成するもの (EC P-256、自己署名、CN=*) と同じである必要があります。

   openssl req -x509 -newkey ec -pkeyopt ec_paramgen_curve:prime256v1 -days 1825 -nodes -subj "/CN=*" -keyout server.key -out server.crt

   openssl req -x509 -newkey ec -pkeyopt ec_paramgen_curve:prime256v1 -days 1825 -nodes -subj "/CN=*" -keyout client.key -out client.crt

   パスフレーズで暗号化されたキーを生成するには、-nodes を省略します。OpenSSL でパスフレーズの入力を求められるので、対応する --server-passphrase または --client-passphrase オプションを使用して渡します。

2. 初期ノードで復旧ツールを実行します。クォーラムを再形成できるように、調整サービスをホストしているノードから開始します。

   recover-coordination-service-cert --server-cert server.crt --server-key server.key --client-cert client.crt --client-key client.key [--server-chain <file.crt>] [--client-chain <file.crt>] [--server-passphrase <passphrase>] [--client-passphrase <passphrase>]

   このツールは、サービスを停止する前に入力内容を事前検証します。具体的には、証明書を X.509 証明書として解析できること、指定されたパスフレーズでキーを復号できること、指定された証明書チェーンがある場合は、その先頭の証明書がリーフ証明書の発行者であることを確認します。その後、ローカル サービスを停止し、すべてのサービスの構成とキーストアにパッチを適用し、コントロール プレーンを再起動します (最初に ZooKeeper、次に管理エージェント、最後にその他のサービスを再起動します)。

3. 残りのすべてのノードでも、同一の証明書ファイルとキー ファイルを使用して、まったく同じコマンドを実行します。最初に調整サービスをホストするノードを復旧させ、次に残りのノードを復旧させます。すべてのノードでツールを実行するまで、クラスターは復旧しません。古いキー ストアが残っているノードは、クラスターに再参加できません。

   注: この段階では tsm status を実行すると、ビジネス サービスがエラー状態であることが表示されますこれは予期された動作です。ツールはサービスにパッチを適用しますが、サービスは停止したままになります。次のステップで set コマンドを実行すると、サービスが起動します。

4. すべてのノードの処理が完了したら、コントローラーまたは初期ノードから次の set コマンドを 1 回実行し、調整サービスの永続化された構成を現在ディスク上にある内容と同期させます。

   tsm security coordination-service-internal-cert set --server-cert server.crt --server-key server.key --client-cert client.crt --client-key client.key [--server-chain <file.crt>] [--client-chain <file.crt>] [--server-passphrase <passphrase>] [--client-passphrase <passphrase>]

   この復旧ツールは、指定したパスが事前に入力された状態で、このコマンドを表示します。パスフレーズ オプションを再度追加するよう促されますが、パスフレーズの値が表示されることはありません。このコマンドは、証明書が同一である場合はショートカット処理によって構成を同期し、停止中のビジネス サービスを含むクラスター全体を再起動し、エラー状態を解消します。

トラブルシューティング: 実行ごとに、構造化ログが ${TABLEAU_SERVER_DATA_DIR}/logs/app-recover-coordination-service-cert.log に書き込まれます。

注: Windows では、同等のラッパーである recover-coordination-service-cert.cmd も同じオプションを指定でき、同様に動作します。