การปฏิบัติตามข้อกําหนด FIPS ใน Tableau Server บน Linux

นำไปใช้กับ Tableau Server

หัวข้อนี้จะอธิบาย Tableau Server เวอร์ชันที่เข้ากันได้กับ FIPS เพิ่มการปฏิบัติตามข้อกําหนด FIPS (Federal Information Processing Standard) ใน Tableau Server บน Linux ในเวอร์ชัน 2025.3 Tableau Server บน Windows ไม่เป็นไปตามมาตรฐาน FIPS

FIPS 140-2 เป็นมาตรฐานความปลอดภัยของคอมพิวเตอร์ของรัฐบาลสหรัฐอเมริกาที่ใช้ในการอนุมัติโมดูลการเข้ารหัสลับ การปฏิบัติตามข้อกําหนดนี้ทําให้มั่นใจได้ว่าการดําเนินการเข้ารหัสทั้งหมดภายใน Tableau Server เป็นไปตามข้อกําหนดด้านความปลอดภัยที่เข้มงวด ทําให้มีสภาพแวดล้อมที่ปลอดภัยยิ่งขึ้นสําหรับข้อมูลของคุณ

การปฏิบัติตาม FIPS มีความหมายต่อคุณอย่างไร

สําหรับผู้ใช้ส่วนใหญ่ ประสบการณ์การใช้ Tableau Server ในแต่ละวันจะยังคงไม่เปลี่ยนแปลงเป็นส่วนใหญ่ การปฏิบัติตามข้อกําหนด FIPS เป็นการปรับปรุงภายใต้ประทุนเป็นหลักซึ่งเสริมความแข็งแกร่งให้กับเสถียรภาพการรักษาความปลอดภัยของเซิร์ฟเวอร์

  • ความปลอดภัยขั้นสูง: ข้อมูลทั้งหมดที่ส่งผ่านและจัดเก็บเมื่อได้รับการปกป้องโดยโมดูลการเข้ารหัสจะใช้อัลกอริทึมที่ผ่านการตรวจสอบ FIPS

  • การปฏิบัติตามกฎระเบียบ: การปฏิบัติตาม FIPS ใน Tableau Server สําหรับ Linux ช่วยให้องค์กรปฏิบัติตามกฎระเบียบเฉพาะของรัฐบาลและอุตสาหกรรมที่กําหนดให้มีการปฏิบัติตาม FIPS 140-2

  • ผลกระทบของผู้ใช้: ไม่มีผลกระทบโดยตรงจากผู้ใช้ คุณไม่จําเป็นต้องเปลี่ยนวิธีการเผยแพร่เวิร์กบุ๊ก ดูแดชบอร์ด หรือโต้ตอบกับข้อมูล การปรับปรุงความปลอดภัยมีความโปร่งใสสําหรับเวิร์กโฟลว์ของผู้ใช้ปลายทาง

การติดตั้ง Tableau Server ในโหมด FIPS

การติดตั้ง Tableau Server ในโหมด FIPS หมายถึงการรวม --enable-fips แฟล็กกับ initialize-tsm script เอกสารประกอบสําหรับการติดตั้งและเริ่มต้น Tableau Server จะเหมือนกับเซิร์ฟเวอร์ที่ไม่ใช่ FIPS ยกเว้นแฟล็ก --enable-fips อินสแตนซ์ Tableau Server จะอยู่ในโหมด FIPS หรือไม่ก็ได้ เมื่อ initialize-tsm เรียกใช้เป็นครั้งแรกสําหรับอินสแตนซ์ใดก็ตาม โหมด FIPS จะถูกตั้งค่าไว้และไม่สามารถเปลี่ยนแปลงได้เว้นแต่คุณจะติดตั้ง Tableau Server อีกครั้ง หากต้องการข้อมูลเพิ่มเติมเกี่ยวกับการติดตั้ง Tableau Server โปรดดู ติดตั้งและเริ่มต้น TSM

หากต้องการแปลงอินสแตนซ์ของ Tableau Server จากโหมดที่ไม่ใช่ FIPS เป็น FIPS โปรดดู การกู้คืนข้อมูลไปยังโหมด FIPS Tableau Server

หมายเหตุ: โหมด FIPS ยังไม่ได้รับการทดสอบและไม่รองรับ Tableau Server ในคอนเทนเนอร์

การใช้เครื่องมือบรรทัดคําสั่งของ Tableau Server กับ FIPS

เมื่อติดตั้ง Tableau Server ในโหมด FIPS ส่วนหนึ่งของกระบวนการติดตั้งจะเพิ่มตัวแปรสภาพแวดล้อมพิเศษ TABLEAU_SERVER_ENABLEFIPS=true ลงในสคริปต์การเริ่มต้นระบบ เพื่อให้ผู้ใช้ระบบตั้งค่าตัวแปรสภาพแวดล้อมนี้โดยอัตโนมัติจากนั้นเข้าสู่ระบบ สิ่งนี้ทําให้มั่นใจได้ว่าเมื่อผู้ใช้เรียกใช้เครื่องมือ CLI tsm หรือ tabcmd โดยเครื่องมือเหล่านั้นจะทํางานในโหมด FIPS ด้วย ในขณะที่ทํางาน tsm และ tabcmd ในโหมด FIPS มีความสําคัญต่อการปฏิบัติตาม FIPS แต่ก็จําเป็นสําหรับการทํางานที่ถูกต้องเช่นกัน

หมายเหตุ: คุณไม่สามารถใช้ tsm เวอร์ชันเก่ากับเซิร์ฟเวอร์ในโหมด FIPS ได้

วิธีตรวจสอบว่าโหมด FIPS เปิดใช้งานอยู่บน Tableau Server หรือไม่

โหมด FIPS จะส่งผลต่อการโต้ตอบบางอย่างกับ Tableau Server รวมถึงเวลาที่คุณสามารถกู้คืนข้อมูลสํารองของเซิร์ฟเวอร์ไปยังอินสแตนซ์อื่น และวิธีที่การเชื่อมต่อฐานข้อมูลบางส่วนจําเป็นสําหรับการตรวจสอบสิทธิ์ มีหลายวิธีในการตรวจสอบว่าเซิร์ฟเวอร์ของคุณทํางานในโหมด FIPS หรือไม่ ดังนี้

  • ใน TSM

    • เรียกใช้คำสั่ง tsm version บนบรรทัดคําสั่งและค้นหา “(FIPS)” ที่ส่วนท้ายของเวอร์ชัน:

      % tsm version
Tableau Services Manager command line version 2025.3.0. (FIPS)
Tableau Server version 2025.3.0. (FIPS)

    • เปิดกล่องโต้ตอบเกี่ยวกับ TSM จาก UI ของ TSM

  • การใช้ tabcmd:

    % tabcmd version
    Tableau Server Command Line Utility -- 2025.3.0 (FIPS)

  • การเปิดกล่องโต้ตอบเกี่ยวกับ Tableau ใน Tableau Server:

การใช้ระบบปฏิบัติการ Linux ที่เปิดใช้งาน FIPS

Tableau Server ในโหมด FIPS ได้รับการทดสอบบน RHEL 8 โดยเปิดใช้งาน FIPS(ลิงก์จะเปิดในหน้าต่างใหม่) Tableau Server ควรทํางานในโหมด FIPS บนระบบปฏิบัติการ Linux ที่รองรับ แต่ได้รับการทดสอบบน RHEL 8 เท่านั้น

คุณไม่จําเป็นต้องมีระบบปฏิบัติการที่เปิดใช้งาน FIPS เพื่อเรียกใช้ Tableau Server ในโหมด FIPS แต่เพื่อให้สอดคล้องกับ FIPS อย่างสมบูรณ์ คุณอาจต้องการทํางานบนระบบปฏิบัติการที่เปิดใช้งาน FIPS คุณมีหน้าที่รับผิดชอบในการทําความเข้าใจและรู้วิธีกําหนดค่าระบบปฏิบัติการของคุณให้ทํางานในโหมด FIPS

การกู้คืนข้อมูลไปยังโหมด FIPS Tableau Server

ในการกู้คืนข้อมูลไปยังโหมด FIPS Tableau Server การสํารองข้อมูลจะต้องสอดคล้องกับ FIPS อย่างไรก็ตาม หากคุณใช้เวอร์ชันเซิร์ฟเวอร์ Tableau ที่เข้ากันได้กับ FIPS เซิร์ฟเวอร์นั้นจะไม่สามารถสร้างข้อมูลสํารองที่สอดคล้องกับ FIPS ได้ และคุณจะต้องอัปเกรดอินสแตนซ์นั้นก่อนที่จะสร้างข้อมูลสํารองที่สอดคล้องกับ FIPS

สําหรับแนวทางปฏิบัติที่ดีที่สุด เราขอแนะนําอย่างยิ่งให้ลูกค้าทุกคนใช้แนวทางสีน้ําเงิน/สีเขียวในการอัปเกรด เนื่องจากวิธีนี้เป็นวิธีที่จะย้อนกลับไปยังเซิร์ฟเวอร์เดิมของคุณหากคุณประสบปัญหา หากต้องการรายละเอียดเกี่ยวกับการอัปเกรดแบบ Blue/Green โปรดดูการใช้แนวทางสีน้ำเงิน/สีเขียวในการอัปเกรด Tableau Server

การอัปเกรดการติดตั้งที่ไม่ใช่ FIPS เป็นโหมด FIPS

หากต้องการย้ายจาก Tableau Server เวอร์ชันที่ไม่ใช่ FIPS ไปยังเวอร์ชันโหมด FIPS ให้ดำเนินการดังนี้

  1. สํารองข้อมูลโหมดที่ไม่ใช่ FIPS Tableau Server

    การสํารองข้อมูลนี้เป็นแนวทางปฏิบัติที่ดีที่สุดเพื่อความปลอดภัย และสามารถใช้เพื่อกู้คืนการติดตั้ง Server เดิมของคุณได้หากมีสิ่งผิดปกติเกิดขึ้น

  2. อัปเกรดโหมดที่ไม่ใช่ FIPS Tableau Server เป็นเวอร์ชัน Tableau Server ที่รองรับ FIPS (2025.3.0 หรือใหม่กว่า)

  3. สํารองข้อมูลเซิร์ฟเวอร์ที่อัปเกรดแล้ว ระบบจะใช้ข้อมูลสํารองนี้เพื่อกู้คืนข้อมูลของคุณไปยังอินสแตนซ์เซิร์ฟเวอร์ที่เปิดใช้งาน FIPS ซึ่งสร้างขึ้นในขั้นตอนถัดไป

    หมายเหตุ: เซิร์ฟเวอร์ที่อัปเกรดจะไม่อยู่ในโหมด FIPS แต่จะสร้างการสํารองข้อมูลที่สอดคล้องกับ FIPS เนื่องจากเป็นเวอร์ชันที่ทราบ FIPS

  4. สร้างอินสแตนซ์ Tableau Server ใหม่ที่ทํางานในโหมด FIPS

  5. กู้คืนข้อมูลสำรองไปยังอินสแตนซ์ใหม่ที่เปิดใช้งาน FIPS

หมาย เหตุ: เมื่อคุณอัปเกรด Tableau Server เป็นเวอร์ชันที่รองรับ FIPS ข้อมูลสํารองที่สร้างโดยเวอร์ชันนั้นจะสอดคล้องกับ FIPS แม้ว่าอินสแตนซ์ของ Tableau Server จะไม่ทํางานในโหมด FIPS

การอัปเกรดการติดตั้งโหมด FIPS เป็นโหมดที่ไม่ใช่ FIPS

หากต้องการแปลงจากการติดตั้งโหมด FIPS เป็นการติดตั้งที่ไม่ใช่ FIPS คุณสามารถทําตามขั้นตอนที่คล้ายกันได้ หากคุณทําเช่นนี้ การติดตั้งขั้นสูงสุดที่ไม่ใช่ FIPS จะต้องยังคงเป็นเวอร์ชันที่ทราบ FIPS (2025.3.x หรือใหม่กว่า) โดยปิดใช้งานโหมด FIPS

กลไกการบังคับใช้ FIPS

งานบังคับใช้มาตรฐาน FIPS ได้รับการจัดการโดยห้องสมุดภายนอกสองแห่งคือ openssl(ลิงก์จะเปิดในหน้าต่างใหม่) และ bouncycastle(ลิงก์จะเปิดในหน้าต่างใหม่) ไลบรารีได้รับการรับรองจาก NIST เพื่อรับประกันการปฏิบัติตาม FIPS ตราบใดที่แอปพลิเคชันที่ใช้ไลบรารีเหล่านี้พึ่งพาไลบรารีเหล่านี้สําหรับฟังก์ชันการเข้ารหัสเท่านั้น Tableau Server ได้รับการออกแบบมาเพื่อให้ฟังก์ชันการเข้ารหัสทั้งหมดต้องผ่านหนึ่งในสองไลบรารีนี้

โดยเฉพาะอย่างยิ่ง ไลบรารี Bouncycastle จะไม่อ่านไฟล์ Java Keystore cacerts มาตรฐานเนื่องจากไม่สอดคล้องกับ FIPS Tableau Server ใช้คีย์สโตร์ BCFKS เฉพาะของ Bouncycastle และสอดคล้องกับ FIPS แทนที่ การใช้คีย์สโตร์นี้ส่วนใหญ่โปร่งใสสําหรับผู้ใช้ ยกเว้นในกรณีที่ผู้ใช้เพิ่มใบรับรองของตนเองไปยังที่เก็บที่เชื่อถือได้ของ OS เพื่อสื่อสารอย่างปลอดภัยผ่าน (m)TLS ไปยังแหล่งข้อมูล JDBC ตามที่อธิบายไว้ในเอกสาร Tableau Desktop และการเขียนเว็บ(ลิงก์จะเปิดในหน้าต่างใหม่) นอกเหนือจากการทําตามขั้นตอนเหล่านั้นและหลังจากเรียกใช้ update-ca-certificates ผู้ใช้ควรเรียกใช้สคริปต์เพิ่มเติมในไดเรกทอรีการติดตั้ง Tableau Server ชื่อ update-cacerts ซึ่งจะแปลงเนื้อหาของไฟล์ OS truststore cacerts ให้สอดคล้องกับ cacerts.bcfks FIPS ซึ่งจะสร้างขึ้นในไดเรกทอรีเดียวกันกับไฟล์ OS truststore

ตัวอย่างของการบังคับใช้ FIPS แสดงให้เห็นการเชื่อมต่อผ่าน JDBC กับฐานข้อมูล PostgreSQL ข้อผิดพลาดที่พบบ่อยที่สุดสองประการคือเซิร์ฟเวอร์หรือผู้ใช้ฐานข้อมูลไม่ได้กําหนดค่าให้ใช้ scram-sha-256 การเข้ารหัสด้วยรหัสผ่าน(ลิงก์จะเปิดในหน้าต่างใหม่) และใช้การเข้ารหัสรหัสผ่านแทน md5 หรือเมื่อรหัสผ่านของผู้ใช้ฐานข้อมูลน้อยกว่าที่ไลบรารี Bouncycastle กําหนดให้มีความยาว 112 บิต (14 ไบต์) เมื่อเชื่อมต่อกับ PostgreSQL ขณะที่ Tableau Server อยู่ในโหมด FIPS ผู้ใช้อาจพบข้อผิดพลาดหนึ่งหรือทั้งสองอย่าง โดยขึ้นอยู่กับการกําหนดค่าและข้อมูลเข้าสู่ระบบของผู้ใช้ ข้อผิดพลาดเช่นนี้เป็นเรื่องปกติเมื่อเรียกใช้ซอฟต์แวร์ในโหมด FIPS และเป็นความแตกต่างระหว่างการเรียกใช้ Tableau Server ในโหมดที่ไม่ใช่ FIPS และโหมด FIPS

ขอบเขต FIPS

การรัน Tableau Server ในโหมด FIPS บนระบบปฏิบัติการที่รองรับ FIPS หมายความว่าซอฟต์แวร์ที่ทํางานบนระบบปฏิบัติการที่เปิดใช้งาน FIPS และซอฟต์แวร์ Tableau Server ที่ทํางานบนระบบปฏิบัติการนั้นโดยตรงนั้นรองรับ FIPS และจะบังคับใช้มาตรฐาน FIPS อย่างไรก็ตาม ซอฟต์แวร์อื่นๆ จะเชื่อมต่อกับ Tableau Server นั้น รวมถึงซอฟต์แวร์ที่เขียนโดย Tableau และไม่มีการอ้างสิทธิ์ใดๆ เกี่ยวกับการปฏิบัติตามข้อกําหนด FIPS ของซอฟต์แวร์นั้น เช่นเดียวกับหากระบบปฏิบัติการไม่ได้เปิดใช้งาน FIPS ซึ่งรวมถึงแต่ไม่จํากัดเพียงเว็บเบราว์เซอร์และ Tableau Desktop

นอกจากนี้ มาตรฐาน FIPS เกี่ยวข้องกับการบังคับใช้อัลกอริธึมการเข้ารหัสที่ใช้งานอยู่เท่านั้น FIPS ไม่จําเป็นต้องสะท้อนถึงเสถียรภาพการรักษาความปลอดภัยโดยรวมของระบบซอฟต์แวร์ ตัวอย่างเช่น ในตัวอย่างข้างต้นโดยใช้ PostgreSQL ตัวเลือกหนึ่งสําหรับการเข้ารหัสรหัสผ่านมีชื่อว่า “password” ซึ่งหมายถึงไม่มีการเข้ารหัส นั่นคือรหัสผ่านจะถูกส่งอย่างชัดเจน นี่เป็นโปรโตคอลการส่งรหัสผ่านที่ไม่ปลอดภัยที่สุด แต่ในทางเทคนิคแล้วถือว่าสอดคล้องกับมาตรฐาน FIPS เนื่องจากไม่มีอัลกอริทึมการเข้ารหัสเข้ามาเกี่ยวข้อง หากผู้ใช้กําหนดค่าฐานข้อมูล Postgres ของตนให้ยอมรับรหัสผ่านอย่างชัดเจน Tableau Server ในโหมด FIPS จะเชื่อมต่อโดยไม่มีข้อผิดพลาด ผู้ใช้จะต้องตระหนักถึงการตั้งค่าความปลอดภัยที่พวกเขาใช้ การเรียกใช้ Tableau Server ในโหมด FIPS รับประกันได้เฉพาะอัลกอริทึมการเข้ารหัสลับที่ใช้อยู่ว่าเป็นไปตามมาตรฐาน FIPS

 

ย้อนกลับไปด้านบน
ขอบคุณสำหรับข้อเสนอแนะของคุณส่งข้อเสนอแนะของคุณเรียบร้อยแล้ว ขอขอบคุณ