为何使用自定义证书？

并非每个 Tableau Server 安装都需要自定义证书，但对于需要遵守受监管行业合规性要求（例如 FIPS）的企业，能够使用自定义证书代替自签名证书至关重要。这些可能也是解决标记自签名内部证书的安全扫描所必需的。您的 IT 和安全团队应告知您是否需要使用自定义证书。

支持自定义证书的服务

以下内部服务支持自定义证书。将服务名称与 tsm security internal-cert set 和 tsm security internal-cert reset 的 --name 选项结合使用。若要查看可用的服务名称，请不带 --name 选项运行 tsm security internal-cert list。

• 简单 TLS（服务器证书和密钥，带有可选链）：

  apiGateway、gatewayInternal、hyper、jmx、thrift、tsigLogs、relationshipService、recommendationsService、vizportalMetadataApi 和 backgrounderMetadataApi

• 相互 TLS (mTLS)，除了服务器证书之外，还需要客户端证书和密钥：

  activemqMTLS, coordinationService

  注意：如果您选择为协调服务单独配置证书，也可以通过专属命令完成该服务的相关配置。有关详细信息，请参见下面的（可选）为协调服务配置单独的自定义证书。

此外，tsm security internal-cert set-all 协调以下已有子系统：

• 存储库 SSL (PostgreSQL)、TSM 控制器 SSL 和 OpenSearch（索引和搜索服务器）。

  当您使用 set-all 时，服务器证书会映射到节点和服务证书，客户端证书会映射到 ActiveMQ 客户端和 OpenSearch 管理员，链会映射到 OpenSearch 证书颁发机构。

证书要求

您为这些命令提供的证书和密钥必须满足以下要求：

• 证书必须是 PEM 编码的 X.509 证书。私钥必须为 PKCS#1 或 PKCS#8 格式。

• 支持密钥算法 RSA 和 ECC (EC/ECDSA)。拒绝 DSA 密钥。

• 支持加密的密钥。使用 --passphrase 和 --client-passphrase 选项提供密码短语。

• 提供链文件是可选的，但大多数部署都需要。对于私有或内部证书颁发机构，证书链必须包含根证书颁发机构。仅当证书由 JVM 已信任的知名公共证书颁发机构颁发时，才可以省略根证书颁发机构。还应在所有节点的操作系统和 Java 信任存储中安装根证书颁发机构。

• 主机名验证：TSM 控制器证书必须包含控制器节点的完全限定域名 (FQDN) 作为公用名称 (CN) 或 DNS 使用者备用名称 (SAN) — 例如，DNS:<value returned by the Linux hostname command>。仅此一项即可通过验证。其他内部证书目前不验证主机名。若要在 TSM 控制器移动到其他节点时保持证书有效，请颁发包含覆盖群集中可以运行控制器的每个节点的 SAN 的证书，或为共享域使用通配符 SAN（例如 DNS:*.corp.example.com）。

• 扩展密钥用法 (EKU)：请勿将 EKU 单独设置为 serverAuth 或 clientAuth。您可以将 EKU 保持未设置，也可以将其设置为这两个值，但不能单独设置为其中一个值。

Tableau Server 自定义证书功能引入了许多新的 TSM CLI 命令。这些命令使管理员能够指定 Tableau Server 用于内部服务之间通信的证书。新命令包括 tsm security internal-cert 下的一系列子命令，以及 tsm security coordination-service-internal-cert 下特定于协调服务的一系列类似子命令。