Tableau Server에 내부 사용자 지정 인증서 구성


버전: 버전 2026.3.0에 추가되었습니다.

기본적으로 Tableau Server는 자체 서명 인증서를 사용하여 내부 서비스와 구성 요소 간의 통신을 암호화합니다.버전 2026.3.0부터 서버 관리자는 TSM에서 생성한 인증서를 자체 엔터프라이즈 PKI 또는 CA(인증 기관)에서 발급한 사용자 지정 인증서로 교체할 수 있습니다.이 항목에서는 내부 서비스 간 통신에 기본 자체 서명 인증서 대신 사용자 지정 인증서를 사용하도록 Tableau Server를 구성하는 방법을 설명합니다.(일부 인증서는 특정 서비스 전용이며, 그 외 인증서는 여러 서비스에서 공유하는 구성 요소용입니다.편의상 여기서는 이 두 경우를 모두 포함하여 '서비스'라는 용어를 사용합니다.)

참고: 여기에서 설명하는 Tableau Server 구성을 위한 사용자 지정 인증서 및 tsm 명령은 Tableau Server 서비스 간의 내부 통신에만 적용됩니다.이러한 인증서는 브라우저 및 기타 외부 클라이언트를 대상으로 하는 외부(게이트웨이) SSL과는 별개입니다.외부 SSL 구성에 대한 자세한 내용은 Tableau Server에서 들어오고 나가는 외부 HTTP 트래픽에 대해 SSL 구성을 참조하십시오.외부 게이트웨이 SSL에는 별도의 인증서를 사용하는 것이 좋습니다.

사용자 지정 인증서를 사용하는 이유

모든 Tableau Server 설치에 사용자 지정 인증서가 필요한 것은 아니지만, 규제 산업의 규정 준수 요구 사항(예: FIPS)을 따라야 하는 기업에서는 자체 서명 인증서 대신 사용자 지정 인증서를 사용할 수 있는 기능이 중요합니다.이는 자체 서명된 내부 인증서가 보안 검사에서 문제로 식별될 경우 이를 해결하기 위해 필요할 수도 있습니다.사용자 지정 인증서를 사용해야 하는지 여부는 IT 및 보안 팀에서 결정해야 합니다.

사용자 지정 인증서를 지원하는 서비스

다음 내부 서비스는 사용자 지정 인증서를 지원합니다.tsm security internal-cert set 및 tsm security internal-cert reset의 --name 옵션과 함께 서비스 이름을 사용하십시오.사용 가능한 서비스 이름을 보려면 --name 옵션 없이 tsm security internal-cert list를 실행합니다.

  • 단순 TLS(서버 인증서 및 키, 선택적 체인 포함):

    apiGateway, gatewayInternal, hyper, jmx, thrift, tsigLogs, relationshipService, recommendationsService, vizportalMetadataApi 및 backgrounderMetadataApi

  • 서버 인증서 외에 클라이언트 인증서와 키가 필요한 상호 TLS(mTLS):

    activemqMTLS, coordinationService

    참고: 조정 서비스에 별도의 인증서를 사용하도록 구성할 수 있으며, 이를 위한 전용 명령어가 제공됩니다.자세한 내용은 아래의 (선택 사항) 조정 서비스에 별도의 사용자 지정 인증서 구성을 참조하십시오.

또한 tsm security internal-cert set-all은 다음과 같은 기존 하위 시스템을 오케스트레이션합니다.

  • 리포지토리 SSL(PostgreSQL), TSM 컨트롤러 SSL 및 OpenSearch(인덱스 및 검색 서버).

    set-all을 사용하면 서버 인증서는 노드 및 서비스 인증서에 매핑되고, 클라이언트 인증서는 ActiveMQ 클라이언트 및 OpenSearch 관리자에 매핑되며, 체인은 OpenSearch CA에 매핑됩니다.

인증서 요구 사항

이러한 명령에 제공하는 인증서와 키는 다음 요구 사항을 충족해야 합니다.

  • 인증서는 PEM 인코딩 X.509 인증서여야 합니다.개인 키는 PKCS#1 또는 PKCS#8 형식이어야 합니다.

  • 키 알고리즘 RSA 및 ECC(EC/ECDSA)가 지원됩니다.DSA 키는 거부됩니다.

  • 암호화된 키가 지원됩니다.암호를 제공하려면 --passphrase 및 --client-passphrase 옵션을 사용하십시오.

  • 체인 파일을 제공하는 것은 선택 사항이지만 대부분의 배포에서 체인 파일이 필요합니다.사설 또는 내부 CA의 경우 루트 CA가 체인에 포함되어야 합니다.인증서가 JVM에서 이미 신뢰하는 잘 알려진 공용 CA에서 발급된 경우에만 루트 CA를 생략할 수 있습니다.루트 CA는 모든 노드의 운영 체제 및 Java 신뢰 저장소에도 설치하는 것이 좋습니다.

  • 호스트 이름 확인: TSM 컨트롤러 인증서에는 컨트롤러 노드의 FQDN(정규화된 도메인 이름)이 CN(일반 이름) 또는 DNS SAN(주체 대체 이름)으로 포함되어야 합니다(예: DNS:<value returned by the Linux hostname command>).이 조건만으로 유효성 검사를 충족합니다.현재 다른 내부 인증서는 호스트 이름의 유효성을 검사하지 않습니다.TSM 컨트롤러가 나중에 다른 노드로 이동해도 인증서가 유효하도록 하려면 컨트롤러를 실행할 수 있는 클러스터의 모든 노드를 포함하는 SAN을 사용하여 인증서를 발급하거나 공유 도메인에 와일드카드 SAN(예: DNS:*.corp.example.com)을 사용합니다.

  • EKU(확장 키 사용): EKU를 serverAuth 또는 clientAuth 단독으로 설정하지 마십시오.EKU를 설정하지 않거나 두 값을 모두 설정할 수 있지만 하나만 개별적으로 설정할 수는 없습니다.

내부 통신에 사용자 지정 인증서를 사용하도록 Tableau Server 구성

Tableau Server 사용자 지정 인증서 기능에는 여러 새로운 TSM CLI 명령이 도입되었습니다.이를 통해 관리자는 Tableau Server에서 내부 서비스 간 통신에 사용할 인증서를 지정할 수 있습니다.새 명령에는 tsm security internal-cert의 하위 명령 집합과 조정 서비스 전용의 유사 tsm security coordination-service-internal-cert 하위 명령 집합이 포함됩니다.

개별 서비스에 사용자 지정 인증서 구성

서버 관리자는 개별 서비스에 사용자 지정 인증서를 설정할 수 있습니다.

개별 서비스별로 사용자 지정 인증서를 구성하려면:

사용자 지정 인증서 일괄 구성

서버 관리자는 적용 가능한 모든 서비스에 대해 사용자 지정 인증서를 일괄 설정할 수도 있습니다.

사용자 지정 인증서를 일괄 구성하려면(적용 가능한 모든 서비스에 구성):

참고: set-all 또는 reset-all 명령을 사용할 때 특정 서비스를 제외하려면 --exclude <service> 옵션을 사용하십시오.

(선택 사항) 조정 서비스에 별도의 사용자 지정 인증서 구성

조정 서비스(ZooKeeper) 인증서는 tsm security coordination-service-internal-cert 명령을 사용하여 별도로 구성할 수 있으며, 여기에는 특정 요구 사항과 제한 사항이 적용됩니다.보안상의 이유로 또는 문제가 발생하여 인증서를 재설정해야 하는 경우 영향을 최소화하기 위해 조정 서비스를 별도로 구성할 수 있습니다.

조정 서비스 인증서에 문제가 있는 경우 Tableau Server 백업과 전체 재설치를 수행하는 상황을 피하려면 특정 단계를 수행해야 합니다.자세한 내용은 조정 서비스 사용자 지정 인증서 복구를 참조하십시오.

관련 항목

맨 위로 이동
피드백을 제공해 주셔서 감사합니다!귀하의 피드백이 제출되었습니다. 감사합니다!