Linux 版 Tableau Server 說明

1.更新目前版本

建議您始終執行最新版本的 Tableau Server。此外，Tableau 會定期發佈 Tableau Server 的維護版本，其中包括已知資訊安全性漏洞的修復程式。（有關已知安全性漏洞的資訊，請參閱 Tableau 安全佈告欄頁面和 Salesforce 安全公告(連結在新視窗開啟)頁面。）我們建議您查看維護版本通知，以確定是否應安裝它們。

若要獲取 Tableau Server 的最新版本或維護版本，請造訪客戶入口網站(連結在新視窗開啟)頁面。

2.使用有效的信任的憑證設定 SSL/TLS

安全通訊端層 (SSL/TLS) 對於幫助保護與 Tableau Server 之間的通訊安全至關重要。使用有效的信任的憑證（不是自我簽署憑證）設定 Tableau Server，以便 Tableau Server、行動裝置和 Web 用戶端可以透過安全連線連線至頂端伺服器。有關詳情，請參閱SSL。

3.停用舊版本的 TLS

Tableau Server 使用 TLS 對元件之間以及與外部用戶端之間的多個連線進行驗證和加密。諸如瀏覽器、Tableau Desktop、Tableau Mobile 之類的外部用戶端透過 HTTPS 使用 TLS 連線到 Tableau。傳輸層安全性 (TLS) 是 SSL 的改良版本。事實上，舊版本的 SSL（SSL v2 和 SSL v3）不再被認為是足夠安全的通訊標準。因此，Tableau Server 不允許外部用戶端使用 SSL v2 或 SSL v3 通訊協定進行連線。

建議您允許外部用戶端使用 TLS v1.3 和 TLS v1.2 連線到 Tableau Server。

TLS v1.2 仍被視為安全的通訊協定，許多用戶端（包括 Tableau Desktop）尚不支援 TLS v1.3。

支援 TLS v1.3 的用戶端將交涉 TLS v1.3，即使伺服器支援 TLS v1.2。

以下 tsm 命令可啟用 TLS v1.2 和 v1.3（使用「all」參數），並（透過在給定通訊協定前面預置減號「-」字元）停用 SSL v2、SSL v3、TLS v1 和 TLS v1.1。目前並非所有 Tableau Server 的元件皆支援 TLS v1.3。

tsm configuration set -k ssl.protocols -v 'all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1'

tsm pending-changes apply

要修改管理 Tableau Server PostgreSQL 存放庫的 SSL 的通訊協議，請參見 pgsql.ssl.ciphersuite 。

還可以修改 Tableau Server 用於 SSL/TLS 工作階段的加密套件的預設清單。有關詳情，請參閱 tsm configuration set 選項中的 ssl.ciphersuite 部分。

4.為內部流量設定 SSL 加密

可以將 Tableau Server 設定為對 Postgres 存放庫和其他伺服器元件之間的所有流量進行加密。預設情況下，已為伺服器元件和存放庫之間的通訊停用了 SSL。我們建議對 Tableau Server 的所有執行個體甚至是對單一伺服器安裝啟用內部 SSL。啟用內部 SSL 對多節點部署尤其重要。請參閱針對內部 Postgres 通訊設定 SSL。

5.啟用防火牆保護

Tableau Server 旨在受保護的內部網路內部執行。

重要資訊：不要在 Internet 上或 DMZ 中執行 Tableau Server 或 Tableau Server 的任何組件。Tableau Server 必須在受 Internet 防火牆保護的公司網路內執行。我們建議為需要連線到 Tableau Server 的 Internet 用戶端設定反向代理解決方案。請參閱為 Tableau Server 設定 Proxy 與負載平衡器。

應在作業系統上啟用本機防火牆，以在單節點和多節點部署中保護 Tableau Sever。在 Tableau Server 的分散式（多節點）安裝中，節點之間的通訊未使用安全通訊。因此，您應該在託管 Tableau Server 的電腦上啟用防火牆。請參閱設定本機防火牆。

若要防止被動攻擊者觀察節點之間的通訊，請設定隔離的虛擬 LAN 或其他網路層安全解決方案。

請參閱Tableau 服務管理員埠，瞭解 Tableau Server 需要哪些埠和服務。

6.限制存取伺服器電腦和重要目錄

Tableau Server 組態檔和記錄檔可能包含對攻擊者有價值的資訊。因此，請限制對正在執行 Tableau Server 的電腦的物理存取。此外，請確保只有經過授權且受信任的使用者才能存取 /var/opt/tableau/tableau_server/ 目錄中的 Tableau Server 檔案。

7.產生新的密碼和權杖

與存放庫或快取伺服器通訊的任何 Tableau Server 服務必須首先用秘密權杖進行驗證。祕密權杖是在 Tableau Server 安裝過程中產生的。在安裝過程中也會產生加密金鑰，內部 SSL 使用該金鑰對到 Postgres 存放庫的流量進行加密。

我們建議您在安裝 Tableau Server 後為您的部署產生新的加密金鑰。

這些安全資產可使用 tsm security regenerate-internal-tokens 命令重新產生。

執行以下命令：

tsm security regenerate-internal-tokens

tsm pending-changes apply

8.停用未使用的服務

若要儘量減小 Tableau Server 的攻擊面，請停用任何不需要的連線點。

JMX 服務

JMX 預設處於停用狀態。如果已啟用了 JMX 但未使用，則應該使用以下命令將其停用：

tsm configuration set -k service.jmx_enabled -v false

tsm pending-changes apply

9.驗證會話生命週期設定

預設情況下，Tableau Server 沒有絕對的會話超時。這意味著在未超過 Tableau Server 不活動超時的情況下瀏覽器用戶端（Web 製作）會話可以無限期地保持開啟狀態。預設不活動超時為 240 分鐘。

如果您的安全性原則需要絕對會話超時，則可以設定它。請務必將絕對工作階段超時設定為允許在組織中進行最長時間的擷取上傳或工作簿發佈操作範圍。如果將此會話超時設定得太低，將可能導致長時間操作的資料擷取和發佈失敗。

若要設定會話超時，請執行以下命令：

tsm configuration set -k wgserver.session.apply_lifetime_limit -v true

tsm configuration set -k wgserver.session.lifetime_limit -v value，其中 value 是分鐘數。預設值是 1440，即 24 小時。

tsm configuration set -k wgserver.session.idle_limit -v value，其中 value 是分鐘數。預設值為 240。

tsm pending-changes apply

連接用戶端的會話（Tableau Desktop、Tableau Mobile、Tableau Prep Builder、Bridge 語個人存取權杖）使用 OAuth 權杖，透過重新建立會話來保持使用者登入。 如果您希望所有 Tableau 用戶端作業完全受上述指令控制的瀏覽器式會話管理，可以停用此行為。參閱停用自動用戶端驗證。

11.為 Web 瀏覽器用戶端啟用 HTTP 嚴格傳輸安全性

HTTP 嚴格傳輸安全性 (HSTS) 是在 Web 應用程式服務（例如 Tableau Server）上設定的原則。當符合規定的瀏覽器遇到執行 HSTS 的 Web 應用程式時，那麼與服務的所有通訊都必須透過安全 (HTTPS) 連線來進行。主要瀏覽器支援 HSTS。

有關 HSTS 如何工作以及支援它的瀏覽器的詳情，請參閱「開啟 Web 應用程式安全專案」網頁、HTTP 嚴格傳輸安全性參考手冊(連結在新視窗開啟)。

若要啟用 HSTS，請在 Tableau Server 上執行以下命令：

tsm configuration set -k gateway.http.hsts -v true

預設情況下，會為一年（31536000 秒）期間設定 HSTS 原則。此時間段指定瀏覽器將透過 HTTPS 存取伺服器的時間量。您應考慮在初始推出 HSTS 期間設定最短時間。若要變更此時間段，請執行 tsm configuration set -k gateway.http.hsts_options -v max-age=<seconds>。例如，若要將 HSTS 策略時間段設定為 30 天，請輸入 tsm configuration set -k gateway.http.hsts_options -v max-age=2592000。

tsm pending-changes apply

12.停用來賓存取權限

Tableau Server 核心授權包括來賓使用者選項，您可以使用該選項允許組織中的任何使用者查看網頁中內嵌的 Tableau 檢視並與之交互。

在使用核心授權部署的 Tableau Server 上，來賓使用者存取權限預設情況下處於啟用狀態。

來賓存取權限僅允許使用者查看內嵌檢視。來賓使用者無法瀏覽 Tableau Server 介面或查看檢視的伺服器介面元素（例如使用者名、帳戶設定、註解等）。

如果您的組織使用核心授權部署了 Tableau Server，並且不需要來賓存取權限，則停用來賓存取權限。

您可以在伺服器或網站層級停用來賓存取權限。

您必須是伺服器管理員才能在伺服器或網站層級停用來賓帳戶。

若要在伺服器層級停用來賓存取權限，請執行以下操作：

1. 在網站功能表中，按一下「管理所有網站」，然後按一下「設定」>「常規」。

2. 對於「來賓存取」，清除「啟用來賓帳戶」核取方塊。

3. 按一下「儲存」。

若要為網站停用來賓存取，請執行以下操作：

1. 在網站功能表中，選取一個網站。

2. 按一下「設定」，並在「設定」頁面上清除「啟用來賓帳戶」核取方塊。

有關詳情，請參閱來賓使用者。

13.將 referrer-policy HTTP 標頭設為「same-origin」

自 2019.2 之後的版本，Tableau Server 即加入可設定 Referrer-Policy HTTP 標頭行為的功能。此原則將依預設行為啟用，即對所有「視為安全」的連線包含原始 URL (no-referrer-when-downgrade)，其僅將原始參照位址資訊傳送至類似的連線（HTTP 至 HTTP），或傳送至更安全的連線（HTTP 至 HTTPS）。

不過，建議您將此值設為 same-origin，如此會僅將參照位址資訊傳送至相同網站來源。網站以外的要求將不會收到參照位址資訊。

若要將 referrer-policy 更新為 same-origin，請執行下列命令：

tsm configuration set -k gateway.http.referrer_policy -v same-origin

tsm pending-changes apply

有關設定其他標頭以提升安全性的詳情，請參閱 HTTP 回應標頭。

14.設定用於 SMTP 連線的 TLS

自 2019.4 開始，Tableau Server 提供的功能可設定用於 SMTP 連線的 TLS。Tableau Server 僅支援 STARTTLS（隨機或明確 TLS）。

Tableau Server 可以選擇性設定為連線至郵件伺服器。設定 SMTP 後，Tableau Server 可設為傳送電子郵件給系統管理員告知有關系統故障的資訊，並傳送電子郵件給伺服器使用者告知有關已訂閱檢視和資料驅動型通知的資訊。

為 SMTP 設定 TLS 的方式：

1. 將相容憑證上傳至 Tableau Server。請參閱 tsm security custom-cert add。
2. 使用 TSM CLI 設定 TLS 連線。

   執行以下 TSM 命令，啟用和強制 TLS 連線至 SMTP 伺服器，以及啟用憑證驗證。

   tsm configuration set -k svcmonitor.notification.smtp.ssl_enabled -v true

   tsm configuration set -k svcmonitor.notification.smtp.ssl_required -v true

   tsm configuration set -k svcmonitor.notification.smtp.ssl_check_server_identity -v true

   預設情況下，Tableau Server 將支援 TLS 1、1.1 和 1.2 版，但建議您指定 SMTP 伺服器支援的最新的 TLS 版本。

   執行以下命令即可設定版本。有效的值包括 SSLv2Hello、SSLv3、 TLSv1、TLSv1.1 和 TLSv1.2。以下範例將 TLS 版本設為 1.2 版：

   tsm configuration set -k svcmonitor.notification.smtp.ssl_versions -v "TLSv1.2"

   有關其他 TLS 組態選項的詳情，請參閱設定 SMTP 設定。

3. 重新啟動 Tableau Server 以套用變更。執行以下命令：

   tsm pending-changes apply

15.為 LDAP 設定 SSL

如果您的 Tableau Server 部署設定為使用通用 LDAP 外部身分識別存放區，建議您設定 SSL 以保護 Tableau Server 和 LDAP 伺服器之間的驗證。請參閱設定到 LDAP 外部身分存放區的加密通道。

如果您的 Tableau Server 部署設定為使用 Active Directory，建議啟用 Kerberos 來保護驗證流量。請參閱 Kerberos。

變更清單