Warum benutzerdefinierte Zertifikate verwenden?

Nicht jede Installation von Tableau Server benötigt benutzerdefinierte Zertifikate, aber für Unternehmen, die Compliance-Anforderungen für regulierte Branchen (z. B. FIPS) einhalten müssen, ist die Möglichkeit, benutzerdefinierte Zertifikate anstelle der selbstsignierten Zertifikate zu verwenden, entscheidend.Diese können auch erforderlich sein, um Sicherheitsscans zu lösen, die selbstsignierte interne Zertifikate beanstanden.Ihre IT- und Sicherheitsteams sollten Ihnen mitteilen, ob Sie benutzerdefinierte Zertifikate verwenden müssen.

Dienste, die benutzerdefinierte Zertifikate unterstützen

Die folgenden internen Dienste unterstützen benutzerdefinierte Zertifikate.Verwenden Sie den Dienstnamen mit der Option --name von tsm security internal-cert set und tsm security internal-cert reset.Um die verfügbaren Dienstnamen anzuzeigen, führen Sie tsm security internal-cert list ohne die Option --name aus.

• Einfaches TLS (Serverzertifikat und Schlüssel, mit einer optionalen Kette):

  apiGateway, gatewayInternal, hyper, jmx, thrift, tsigLogs, relationshipService, recommendationsService, vizportalMetadataApi und backgrounderMetadataApi

• Gegenseitiges TLS (Mutual TLS, mTLS), bei dem zusätzlich zum Serverzertifikat ein Clientzertifikat und ein Schlüssel erforderlich sind:

  activemqMTLS, coordinationService

  Hinweis: Der Koordinationsdienst kann auch mit einem eigenen Befehl konfiguriert werden, wenn Sie dafür lieber ein separates Zertifikat verwenden möchten.Weitere Informationen finden Sie unter (Optional) Konfigurieren eines separaten benutzerdefinierten Zertifikats für den Koordinationsdienst weiter unten.

Darüber hinaus orchestriert tsm security internal-cert set-all die folgenden bereits vorhandenen Subsysteme:

• Repository-SSL (PostgreSQL), TSM-Controller-SSL und OpenSearch (Indizierungs- und Suchserver).

  Wenn Sie set-all verwenden, wird das Serverzertifikat den Knoten- und Dienstzertifikaten zugeordnet, das Clientzertifikat wird dem ActiveMQ-Client und dem OpenSearch-Administrator zugeordnet, und die Kette wird der OpenSearch-Zertifizierungsstelle zugeordnet.

Zertifikatsanforderungen

Die Zertifikate und Schlüssel, die Sie in diesen Befehlen angeben, müssen die folgenden Anforderungen erfüllen:

• Zertifikate müssen PEM-codierte X.509-Zertifikate sein.Private Schlüssel müssen im Format „PKCS#1“ oder „PKCS#8“ vorliegen.

• Die Schlüsselalgorithmen RSA und ECC (EC/ECDSA) werden unterstützt.DSA-Schlüssel werden abgelehnt.

• Verschlüsselte Schlüssel werden unterstützt.Verwenden Sie die Optionen --passphrase und --client-passphrase, um die Passphrase anzugeben.

• Die Angabe einer Kettendatei ist optional, für die meisten Bereitstellungen ist jedoch eine erforderlich.Für eine private oder interne Zertifizierungsstelle muss die Stammzertifizierungsstelle in der Kette enthalten sein.Die Stammzertifizierungsstelle kann nur weggelassen werden, wenn das Zertifikat von einer bekannten öffentlichen Zertifizierungsstelle ausgestellt wurde, der die JVM bereits vertraut.Die Stammzertifizierungsstelle sollte auch in dem Betriebssystem und im Java-Truststore auf allen Knoten installiert sein.

• Hostnamenüberprüfung: Das TSM-Controller-Zertifikat muss den vollständig qualifizierten Domänennamen (FQDN) des Controller-Knotens als den allgemeinen Namen (CN) oder als einen DNS-SAN (Subject Alternative Name) enthalten – zum Beispiel DNS:<value returned by the Linux hostname command>.Dies allein reicht für die Validierung aus.Andere interne Zertifikate validieren derzeit keine Hostnamen.Damit das Zertifikat gültig bleibt, falls der TSM-Controller jemals auf einen anderen Knoten wechselt, stellen Sie das Zertifikat mit SANs aus, die jeden Knoten in dem Cluster abdecken, auf dem der Controller ausgeführt werden könnte, oder verwenden Sie einen Platzhalter-SAN für die gemeinsam genutzte Domäne (z. B. DNS:*.corp.example.com).

• Erweiterte Schlüsselverwendung (Extended Key Usage, EKU): Legen Sie die EKU nicht allein auf serverAuth oder clientAuth fest.Sie können die EKU entweder undefiniert belassen oder auf beide Werte festlegen, jedoch nicht auf einen einzelnen Wert.

Das Tableau Server-Feature für benutzerdefinierte Zertifikate bringt eine Reihe neuer TSM-CLI-Befehle mit sich.Diese geben Administratoren die Möglichkeit, Zertifikate festzulegen, die Tableau Server für die Kommunikation zwischen internen Diensten verwenden soll.Die neuen Befehle umfassen eine Reihe von Unterbefehlen unter tsm security internal-cert und eine ähnliche Reihe von Unterbefehlen unter tsm security coordination-service-internal-cert, die für den Koordinationsdienst spezifisch sind.