Linux 版 Tableau Server 中的 FIPS 合規性

套用到： Tableau Server

本主題會介紹符合 FIPS 的 Tableau Server 版本。FIPS（聯邦資訊處理標準）合規性已新增至版本 2025.3 的 Linux 版 Tableau Server。Windows 版 Tableau Server 不符合 FIPS。

FIPS 140-2 是美國政府的電腦安全性標準，用於核准加密模組。此合規性可確保 Tableau Server 中的所有加密作業都滿足嚴格的安全性要求，從而為您的資料提供更安全的環境。

FIPS 合規性對您意味著什麼

對於大多數使用者來說，使用 Tableau Server 的日常體驗將基本保持不變。FIPS 合規性主要是一種底層增強功能，可加強伺服器的安全性態勢。

增強的安全性：所有傳輸中和靜態的資料在受到加密模組保護時，都會使用經過 FIPS 驗證的演算法。
法規遵守：Linux 版 Tableau Server 中的 FIPS 合規性可協助組織符合強制遵守 FIPS 140-2 合規性的特定政府和產業法規。
使用者影響：沒有直接的使用者影響。您無需變更發佈工作簿、檢視儀表板或與資料互動的方式。安全性增強功能對終端使用者工作流程透明。

以 FIPS 模式安裝 Tableau Server

以 FIPS 模式安裝 Tableau Server 意味著在 initialize-tsm script 中包含 --enable-fips 標幟。除了 --enable-fips 標幟之外，安裝和初始化 Tableau Server 的文件與非 FIPS 伺服器相同。Tableau Server 執行個體會處於或不處於 FIPS 模式。為任何執行個體首次執行 initialize-tsm 後，會設定 FIPS 模式並且無法變更，除非重新安裝Tableau Server。有關安裝 Tableau Server 的詳情，請參閱安裝和初始化 TSM。

若要將 Tableau Server 執行個體從非 FIPS 模式轉換為 FIPS 模式，請參閱將將資料還原至 FIPS 模式 Tableau Server

附註：FIPS 模式尚未經過測試，容器中的 Tableau Server 不支援。

將 Tableau Server 的命令列工具與 FIPS 結合使用

以 FIPS 模式安裝 Tableau Server 時，安裝流程的一部分會將一個特殊的環境變數 TABLEAU_SERVER_ENABLEFIPS=true 新增至系統啟動指令碼，以便系統使用者在登入時會自動為其設定此環境變數。這可確保使用者執行 tsm 或 tabcmd CLI 工具時，這些工具也將以 FIPS 模式執行。雖然以 FIPS 模式執行 tsm 和 tabcmd 對於 FIPS 合規性很重要，但這對於功能正常運作也是必要的。

附註：不能將舊版本的 tsm 與處於 FIPS 模式下的伺服器一起使用。

如何確定 Tableau Server 上是否已啟用 FIPS 模式

FIPS 模式會影響與 Tableau Server 的某些互動，包括何時可以將伺服器備份還原到另一個執行個體，以及某些資料庫連線需要如何進行驗證。有幾種方法可以確定伺服器是否以 FIPS 模式執行：

在 TSM 中
- 在命令列上執行 tsm version 命令，並在版本末尾尋找「(FIPS)」：
```
% tsm version
Tableau Services Manager command line version 2025.3.0. (FIPS)
Tableau Server version 2025.3.0. (FIPS)
```
- 從 TSM UI 開啟關於 TSM 對話方塊：

使用 tabcmd：

% tabcmd version
Tableau Server Command Line Utility -- 2025.3.0 (FIPS)

在 Tableau Server 中開啟關於 Tableau 對話方塊：

使用啟用 FIPS 的 Linux 作業系統

FIPS 模式下的 Tableau Server 已在啟用 FIPS 的 RHEL 8(連結在新視窗開啟) 上進行了測試。Tableau Server 應在任何支援的 Linux 作業系統上以 FIPS 模式執行，但僅在 RHEL 8 上進行了測試。

您不必具有啟用 FIPS 的作業系統即可以 FIPS 模式執行 Tableau Server，但為了完全符合 FIPS 要求，您可能需要在啟用 FIPS 的作業系統上執行。您有責任瞭解並知道如何將作業系統設定為以 FIPS 模式執行。

將資料還原至 FIPS 模式 Tableau Server

為了將資料還原到 FIPS 模式 Tableau Server，備份必須符合 FIPS。但是，若您執行的是與 FIPS 相容之前的 Tableau Server 版本，則該伺服器無法產生符合 FIPS 標準的備份，您將需要先升級該執行個體，才能建立符合 FIPS 標準的備份。

作為最佳做法，我們強烈鼓勵所有客戶使用藍/綠方法進行升級，因為這提供了一種在您遇到困難時回退到原始伺服器的方法。有關藍/綠方法升級詳情，請參閱使用藍/綠方法升級 Tableau Server。

將非 FIPS 安裝升級為 FIPS 模式

若要從 Tableau Server 的非 FIPS 版本移動到 FIPS 模式版本：

備份非 FIPS 模式 Tableau Server。
此備份是安全的最佳做法，若出現問題，可用於還原原始伺服器安裝。
將非 FIPS 模式 Tableau Server 升級到支援 FIPS 的 Tableau Server 版本（2025.3.0 或更高版本）。
備份升級的伺服器。此備份會用於將資料還原到下一步中建立的啟用 FIPS 的伺服器執行個體。
附註：升級後的伺服器不會處於 FIPS 模式，但會產生符合 FIPS 的備份，因為它是 FIPS 感知的版本。
建立以 FIPS 模式執行的新 Tableau Server 執行個體。
將備份資料還原到啟用 FIPS 的新執行個體。

附註：將 Tableau Server 升級到支援 FIPS 的版本後，即使 Tableau Server 執行個體未以 FIPS 模式執行，該版本產生的備份也會符合 Tableau。

將 FIPS 模式安裝升級為非 FIPS 模式

若要從 FIPS 模式安裝轉換為非 FIPS 安裝，可以遵循類似的步驟。若這樣做，最終的非 FIPS 安裝仍必須是停用 FIPS 模式的 FIPS 感知版本（2025.3.x 或更高版本）。

FIPS 強制執行機制

強制執行 FIPS 標準的作業由兩個外部程式庫（openssl(連結在新視窗開啟) 和 bouncycastle(連結在新視窗開啟)）處理。這些程式庫經過 NIST 認證，只要使用它們的應用程式完全依賴它們實現加密功能，就可以保證 FIPS 合規性。Tableau Server 的設計旨在讓所有加密函數皆透過這兩個程式庫中的其中一個進行處理。

具體而言，Bouncycastle 程式庫將不會讀取標準 Java 金鑰儲存區 cacerts 檔案，因為它不符合 FIPS。取而代之的是，Tableau Server 使用特定於 Bouncycastle 且符合 FIPS 的 BCFKS 金鑰儲存區。此金鑰儲存區的使用對使用者而言基本上是透明的，除非他們將自己的憑證新增到作業系統信任存放區，以便透過 (m)TLS 與其 JDBC 資料來源安全地通訊，如 Tableau Desktop 和 Web 製作文件(連結在新視窗開啟)中所述。除了遵循這些步驟之外，在執行 update-ca-certificates 後，使用者還應在名為 update-cacerts 的 Tableau Server 安裝目錄中執行額外指令碼，該指令碼會將作業系統信任存放區 cacerts 檔案的內容轉換為符合 FIPS 的 cacerts.bcfks，該檔案將建立在與作業系統信任存放區檔案相同的目錄中。

透過 JDBC 連線到 PostgreSQL 資料庫演示強制執行 FIPS 的範例。兩個最常見的錯誤是伺服器或資料庫使用者未設定為使用 scram-sha-256 密碼加密(連結在新視窗開啟)，而是使用 md5 密碼加密，或者資料庫使用者的密碼小於 Bouncycastle 程式庫規定的 112 位元（14 位元組）長度。在 Tableau Server 處於 FIPS 模式時連線到 PostgreSQL 時，使用者可能會遇到一個或兩個錯誤，具體取決於其使用者設定和認證。以 FIPS 模式執行軟體時，這類錯誤很常見，這是在非 FIPS 模式和 FIPS 模式下執行 Tableau Server 的差異所在。

FIPS 邊界

在啟用 FIPS 的作業系統上以 FIPS 模式執行 Tableau Server 意味著在啟用 FIPS 的作業系統上執行的軟體以及直接在該作業系統上執行的 Tableau Server 軟體均已啟用 FIPS，並且將強制執行 FIPS 標準。但是，其他軟體將連線到該 Tableau Server，包括 Tableau 編寫的軟體，並且不會對該軟體的 FIPS 合規性做出任何聲明。若作業系統未啟用 FIPS，情況也是如此。這包括但不限於 Web 瀏覽器和 Tableau Desktop。

此外，FIPS 標準僅與強制執行正在使用的加密演算法有關。FIPS 不一定反映軟體系統的整體安全性態勢。例如，在上面使用 PostgreSQL 的範例中，密碼加密的一個選項名為「密碼」，表示不加密。也就是說，密碼以明文形式傳送。這是所有通訊協定中最不安全的密碼傳輸通訊協定，但在技術上符合 FIPS，因為沒有使用加密演算法。若使用者將其 postgres 資料庫設定為接受明文密碼，則 FIPS 模式下的 Tableau Server 會進行連線，而不會發生錯誤。使用者必須注意他們所使用的安全性設定。以 FIPS 模式執行 Tableau Server 只能保證所使用的加密演算法符合 FIPS 標準。

返回頂端

感謝您的意見反應！

已成功提交您的意見回饋。謝謝！

Linux 版 Tableau Server 說明