為何使用自訂憑證？

並非每次安裝 Tableau Server 都需要自訂憑證，但對於需要遵守受監管產業合規性要求（例如 FIPS）的企業而言，能夠使用自訂憑證取代自我簽署憑證至關重要。若要解析標幟自我簽署內部憑證的安全性掃描，可能也需要這些。您的 IT 和安全性團隊應該會告知您是否需要使用自訂憑證。

支援自訂憑證的服務

以下內部服務支援自訂憑證。透過 tsm security internal-cert set 和 tsm security internal-cert reset 的 --name 選項使用服務名稱。若要查看可用的服務名稱，請執行無 --name 選項的 tsm security internal-cert list。

• 簡單 TLS（伺服器憑證和金鑰，以及可選鏈結）：

  apiGateway、gatewayInternal、hyper、jmx、thrift、tsigLogs、relationshipService、recommendationsService、vizportalMetadataApi 和 backgrounderMetadataApi

• 相互 TLS (mTLS)，除了伺服器憑證之外，還需要用戶端憑證和金鑰：

  activemqMTLS, coordinationService

  附註：若選擇為協調服務使用單獨的憑證，也可以使用協調服務自己的命令進行設定。有關詳細資訊，請參閱下方的（可選）為協調服務設定單獨的自訂憑證。

此外， tsm security internal-cert set-all 會協調以下預先存在的子系統：

• 存放庫 SSL (PostgreSQL)、TSM 控制器 SSL 和 OpenSearch（索引和搜尋伺服器）。

  使用 set-all 時，伺服器憑證會對應至節點和服務憑證，用戶端憑證會對應至 ActiveMQ 用戶端和 OpenSearch 管理員，而鏈結則會對應至 OpenSearch CA。

憑證要求

提供給這些命令的憑證和金鑰必須滿足以下要求：

• 憑證必須為 PEM 編碼的 X.509 憑證。私人金鑰必須為 PKCS#1 或 PKCS#8 格式。

• 支援金鑰演算法 RSA 和 ECC (EC/ECDSA)。拒絕 DSA 金鑰。

• 支援加密金鑰。使用 --passphrase 和 --client-passphrase 選項來提供複雜密碼。

• 提供鏈結檔案是可選的，但大多數部署都需要。對於私人或內部 CA，根 CA 必須包含在鏈結中。只有在憑證是由 JVM 已信任的知名公用 CA 簽發時，才能省略根 CA。根 CA 也應安裝在所有節點上的作業系統和 Java 信任存放區中。

• 主機名稱驗證：TSM 控制器憑證必須包含控制器節點的完整網域名稱 (FQDN) 作為通用名稱 (CN) 或 DNS 主體別名 (SAN)，例如 DNS:<value returned by the Linux hostname command>。僅此一項即可通過驗證。其他內部憑證目前不會驗證主機名稱。若要在 TSM 控制器移動至其他節點時維持憑證有效，請簽發包含 SAN 的憑證以涵蓋叢集中可執行控制器的每個節點，或針對共用網域使用萬用字元 SAN（例如 DNS:*.corp.example.com）。

• 擴充金鑰用法 (EKU)：請勿將 EKU 僅設定為 serverAuth 或 clientAuth。可以不設定 EKU，也可以將其設定為這兩個值，但不能僅設定為其中一個值。

Tableau Server 自訂憑證功能引進了許多新的 TSM CLI 命令。這些命令可讓管理員指定 Tableau Server 應用於內部服務之間通訊的憑證。新命令包含 tsm security internal-cert 下的一系列子命令，以及 tsm security coordination-service-internal-cert 下特定於協調服務的一系列類似子命令。