OpenID Connect に対応するように Tableau Server を構成する

このトピックでは、シングルサインオン (SSO) に OpenID Connect (OIDC) を使用するよう Tableau Server を構成する方法を説明します。これは、複数のステップにわたるプロセスの 1 ステップです。次のトピックでは、Tableau Server.での OIDC の構成および使用に関する情報を提供します。

OpenID Connect の概要
OpenID Connect に対応するように ID プロバイダーを構成する
OpenID Connect に対応するように Tableau Server を構成する (現在のセクション)
OpenID Connect を使用して Tableau Server にサインインする

注:

ここで説明するステップを実行する前に、OpenID Connect に対応するように ID プロバイダーを構成するで説明されている OpenID アイデンティティプロバイダー (IdP) を構成する必要があります。
このトピックで説明する手順は、アイデンティティプールを使用して設定された OIDC 認証に適用される場合があります。ただし、最初に「アイデンティティプール (ID プール) を使用したユーザーのプロビジョニングと認証」に従い、その後、必要に応じてこのトピックに戻って参照してください。
Tableau REST API および tabcmd では、OIDC シングルサインオン (SSO) はサポートされていません。tabcmd または REST API(新しいウィンドウでリンクが開く) を使用するには、ユーザーは TableauID アカウントを使用して Tableau Server にサインインする必要があります。

ブラウザーで TSM を開きます。

https://<tsm-computer-name>:8850詳細については、「Tableau サービスマネージャーの Web UI へのサインイン」を参照してください。
[構成] タブで、[ユーザー ID とアクセス] > [認証方法] の順に選択します。
[認証方法] で、ドロップダウンメニューから [OpenID Connect] を選択します。
OpenID Connect で、[サーバーの OpenID 認証を有効化] を選択します。
自分の組織の OpenID 構成情報を次のように入力します。

注:
- ステップ 3: プロバイダーが、パブリック URL でホストされたファイルではなくローカルコンピューター上でホストされた構成ファイルに依存している場合は、tsm authentication open-id <commands> を実行してファイルを指定できます。--metadata-file <file_path> オプションを使用して、ローカル IdP 構成ファイルを指定します。
- ステップ 4: Tableau Server 2025.3 以降では、シングルログアウト (SLO) を有効にして、サインアウト後にユーザーをリダイレクトする URL を指定できます。
- ステップ 5: Tableau Server 2026.2 以降では、OIDC 認証ワークフローの一部としてユーザー属性とその機能を有効にすることができます。詳細については、「OIDC クレームのユーザー属性」を参照してください。
構成情報を入力したら、[保留中の変更を保存] をクリックします。
ページ上部の [変更を保留中] をクリックします。
[変更を適用して再起動] をクリックします。

このセクションでは、TSM コマンドラインインターフェースを使用して OpenID Connect を構成する手順を説明します。OpenID Connect の初期構成には、構成ファイルを使用することもできます。openIDSettings エンティティを参照してください。

ユーザー属性を使用したデータアクセスのカスタマイズと制御

ユーザー属性は、組織で定義されるユーザーメタデータです。ユーザー属性を使用して、一般的な属性ベースのアクセス制御 (ABAC) 許可モデルでアクセスを判定することができます。ユーザー属性には、職務、部門メンバーシップ、管理レベルなど、ユーザープロフィールのあらゆる側面が該当します。また、ユーザー属性は、ユーザーがサインインしている場所や言語設定など、ランタイムユーザーコンテキストに関連付けられている場合もあります。

ユーザー属性をワークフローに含めることで、データアクセスとパーソナライゼーションを通じてユーザーエクスペリエンスを制御したりカスタマイズしたりできます。

データアクセス: ユーザー属性を使用して、データセキュリティポリシーを適用できます。これにより、ユーザーが表示できるのは閲覧が許可された情報のみになります。
パーソナライゼーション: 場所や役割などのユーザー属性を渡すことで、コンテンツをカスタマイズして、アクセスするユーザーに関連する情報のみを表示し、ユーザーが必要な情報を見つけやすくすることができます。

ユーザー属性を渡すステップの概要

ワークフローでユーザー属性を有効にするプロセスの手順は、次のとおりです。

ユーザー属性設定を有効にする
アサーションにユーザー属性を含める
コンテンツ作成者がユーザー属性関数と関連フィルターを含めていることを確認する
コンテンツを確認する

ステップ 1: ユーザー属性設定を有効にする

セキュリティ上の理由から、ユーザー属性が認証ワークフローで検証されるのは、サーバー管理者によってユーザー属性の設定が有効にされている場合のみです。

ブラウザーで TSM を開きます。

https://<tsm-computer-name>:8850詳細については、「Tableau サービスマネージャーの Web UI へのサインイン」を参照してください。
[構成] タブで、[ユーザー ID とアクセス] > [認証方法] の順に選択します。
[認証方法] で、ドロップダウンメニューから [SAML] を選択します。
ステップ 8で、[Enable capture of user attributes during SAML authentication (SAML 認証中にユーザー属性のキャプチャを有効にする)] チェックボックスをオンにします。
終了したら、次を実行します。
1. [保留中の変更を保存] をクリックします。
2. ページの上部にある[保留中の変更] ボタンをクリックします。
3. [変更を適用して再起動] をクリックします。

ステップ 2: アサーションにユーザー属性を含める

アサーションにユーザー属性が含まれていることを確認します。

注: SAML 応答の属性には、scope 属性または scp 属性を除き、4096 文字の制限が適用されます。応答の属性 (ユーザー属性を含む) がこの制限を超える場合、Tableau は属性を削除し、代わりに ExtraAttributesRemoved 属性を渡します。その後、コンテンツ作成者は ExtraAttributesRemoved 属性を使用して計算を作成し、この属性が検出された場合のユーザーに対するコンテンツの表示方法を決定できます。

例

南部地域のマネージャーである Fred Suzuki という従業員がいるとします。あなたは、Fred がレポートをレビューするときに、南部地域のデータのみが表示されるようにしたいと考えています。このようなシナリオでは、以下の例のように、SAML 応答に Region ユーザー属性を含めることができます。

<saml:Assertion xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion"
	<saml;Issuer">https://myidp.okta.com/saml</saml:Issuer">
   <saml;Subject">
	  <saml:NameId Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"fsuzuki@example.com</saml:NameID">
   <saml:AttributeStatement xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion">
  		<saml:Attribute Name="Region" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">
  			<saml:AttributeValue">South</saml:AttributeValue">
    	</saml:Attribute">
   </saml:AttributeStatement">
</saml:Assertion">

ステップ 3: コンテンツ作成者が属性関数を含めていることを確認する

コンテンツ作成者がユーザー属性関数と関連フィルターを含めていて、コンテンツに表示できるデータの制御が可能になっていることを確認します。ユーザー属性アサーションが Tableau に確実に渡されるようにするには、コンテンツに次のユーザー属性関数のいずれかが含まれている必要があります。

USERATTRIBUTE('attribute_name')
USERATTRIBUTEINCLUDES('attribute_name', 'expected_value')

コンテンツ作成者が使用する関数は、ユーザー属性が単一の値を返すと想定されるのか、複数の値を返すと想定されるのかによって異なります。これらの関数の詳細とそれぞれの例については、Tableau ヘルプの「ユーザー関数(新しいウィンドウでリンクが開く)」を参照してください。

注:

Tableau Desktop や Tableau Cloud で作成する場合、これらの関数を使用したコンテンツのプレビューは利用できません。関数は、NULL または FALSE を返します。ユーザー関数が想定どおりに動作するようにするために、作成者には、コンテンツを公開した後、関数を確認することをお勧めします。
コンテンツ作成者は、コンテンツが想定どおりにレンダリングされるようにするために、1) この属性をチェックして、2) メッセージの表示など、属性によるコンテンツの処理方法 (処理する場合) を決定する ExtraAttributesRemoved を使った計算を含めることを検討してもよいでしょう。SAML XML の属性が 4096 文字を超える場合、Tableau は、ExtraAttributesRemoved 属性のみを追加し、他のすべての属性 (scp または scope を除く) を削除します。これは、最適なパフォーマンスを確保するとともに、ストレージの制限を考慮するためです。

例

上記の「ステップ 2: アサーションにユーザー属性を含める」で紹介した例を続けます。「Region」ユーザー属性アサーションをワークブックに渡すには、作成者は USERATTRIBUTEINCLUDES を含めることができます。たとえば、USERATTRIBUTEINCLUDES('Region', [Region]) では、‘Region’ はユーザー属性であり、[Region] はデータの列です。作成者は新しい計算を使用して、「Manager (マネージャー)」データと「Sales (売上)」データを含む表を作成できます。計算が追加されると、ワークブックは想定どおり「False」値を返します。

作成者は、埋め込まれたワークブックに「South (南部)」地域に関連付けられたデータのみを表示するために、フィルターを作成してカスタマイズし、「South (南部)」地域が「True」のときに値を表示することができます。関数が「False」値を返し、フィルターが「True」値のみを表示するようにカスタマイズされているため、フィルターを適用すると、ワークブックは想定どおり空白になります。