Hjälp för Tableau Server på Linux

Tableau Server behöver lagra ett antal hemligheter som används för att utföra olika funktioner, t.ex. för att skydda intern kommunikation, för att kommunicera med andra program eller operativsystemet eller för att skydda kommunikationen med klienter. I den här kontexten kan hemligheten vara ett lösenord, en token eller en annan sträng som används för att autentisera en entitet mot en annan.

Det finns två kategorier med hemligheter som krävs för att köra Tableau Server. Skillnaden mellan dem ligger i hur hemligheterna genereras.

• Hemligheter genereras av administratörer. Exempel på dessa hemligheter är inloggningsuppgifter och associerade hemligheter för ”Kör som”-användarkontot och SMTP-inloggningsuppgifterna som används av Tableau Server.
• Hemligheter som genereras automatiskt av olika processer i systemet. Till exempel krävs en hemlighet för att skydda kommunikationen mellan Cluster Controller- och ZooKeeper-processerna. Och ett antal olika lösenord krävs för varje tjänst och programmeringsanvändare som kommunicerar med Postgres.

De flesta hemligheter krypteras i vila. När en hemlighet behövs avkrypteras den i samband med körningen.

Det här avsnittet beskriver hur hemligheter fungerar och vad du behöver göra för att hantera lagringen av hemligheter i Tableau Server.

Förstå hur lagringen av hemligheter fungerar

Under installationen genererar och lagrar Tableau Server en huvudnyckel i ett Java-nyckelarkiv. Huvudnyckeln används för att kryptera en konfigurationskrypteringsnyckel som används i hela systemet.

När en ny hemlighet skapas eller uppdateras krypteras hemligheten med konfigurationskrypteringsnyckeln. Det krypterade värdet lagras sedan med motsvarande konfigurationsparameter i en YAML-fil på servern. Parametrar som innehåller ett krypterat värde har formatet ENC(<encrypted string>), där <encrypted string> är en Base64-kodad krypterad sträng.

När en hemlighet behövs vid körtillfället läses de krypterade värdena in i minnet och avkrypteras med konfigurationskrypteringsnyckeln.

Om det finns väntande ändringar och du anger hemligheter i samband med en konfigurationsändring krypteras hela transaktionen. När du har angett hemligheten och sparar den väntande ändringen skickas hemligheten till samordningstjänsten (via krypterad SSL). Samordningstjänsten krypterar hemligheten och lagrar den tills de väntande ändringarna tillämpas. När ändringarna tillämpas uppgraderas hemligheten (som fortfarande är krypterad) till den senaste konfigurationsversionen.

Tableau Server krypterar hemligheter med 256-bit AES i GCM-läge. Nycklarna som används för säker lagring skiljer sig från resursnycklarna som används för att kryptera inbäddade databasinloggningsuppgifter innan de lagras på lagringsplatsen.

Vem kan komma åt huvudnyckeln?

Importera och exportera konfigurationsinformation

Med Tableau Services Manager kan du importera och exportera konfigurationsinformation med export av tsm-inställningar.

Obs! I den här versionen av Tableau Server går det inte att återställa konfigurationsinformation från en säkerhetskopia. I stället rekommenderar vi att du använder export- och importkommandona för att säkerhetskopiera och återställa konfigurationsinformation.

Konfigurationshemligheter krypteras när de lagras internt på en disk, men när konfigurationen exporteras till en fil skrivs hemligheterna till filen i klartext. Det är administratörens ansvar att skydda den här filen. Du kan välja mellan flera olika alternativ:

• Skriv filen till ett krypterat filsystem.
• Skriv filen till en katalog som endast specifika användare eller grupper med behörighet till filsystemet kan komma åt.
• Kryptera utdatafilen.

Skydda hemligheter vid import- och exportåtgärder

Händelseloggning för lagring av hemligheter

Följande händelser som rör lagringen av hemligheter loggas:

• Genereringen av nya krypteringsnycklar.
• Krypteringsnycklar förnyas eller ändras.
• Krypteringen av ett nytt värde i konfigurationsfilen.

Mer information om loggfiler och var de lagras finns i Arbeta med loggfiler.

Hantera hemligheter

Som Tableau Server-administratör är den viktigaste uppgiften när det gäller lagringen av hemligheter att regelbundet uppdatera hemligheterna. I vissa fall (felsökning eller granskning av servrar) kan du behöva hämta ett lösenord.

När det gäller andra åtgärder, som att uppgradera versioner, säkerhetskopiera och återställa eller lägga till nya noder i ett kluster, hanterar Tableau Server (som du sett ovan) lagringen av hemligheter och relaterade processer automatiskt.

Uppdatera hemligheter

Du bör uppdatera hemligheter med jämna mellanrum, baserat på företagets säkerhetspolicy.

Du kan uppdatera huvudnyckeln och automatiskt genererade hemligheter genom att köra tsm security regenerate-internal-tokens.

Hämta lösenord

I vissa fall kan du behöva hämta ett lösenord för felsökning eller för andra åtgärder. Du kan till exempel behöva readonly-inloggningsuppgifterna för Postgres som genereras och krypteras av Tableau Server. I dessa fall kan du köra ett tsm-kommando som hämtar och dekrypterar lösenordet åt dig.

Du kan hämta ett lösenord genom att öppna kommandotolken och köra ett tsm configuration get-kommando för någon av parametrarna som anges i tabellen nedan.

Om du till exempel vill hämta ett lösenord för en readonly-användare i Postgres skriver du följande kommando:

tsm configuration get -k pgsql.readonly_password

Kommandot returnerar lösenordet i klartext:

$ tsm configuration get -k pgsql.readonly_password

password