Versión: se ha añadido en la versión 2026.3.0.

A partir de la versión 2026.3.0 de Tableau Server, los administradores de servidor tienen la opción de reemplazar los certificados autofirmados que utiliza Tableau Server por certificados personalizados.Si ha configurado Tableau Server para usar certificados personalizados y luego tiene problemas con el servicio de coordinación (por ejemplo, debido a un certificado caducado, una discrepancia de claves o una cadena proporcionada por el cliente que ya no se valida), debe tomar medidas especiales para solucionar el problema sin necesidad de realizar una nueva instalación de Tableau Server y restaurar una copia de seguridad existente.Para obtener más información sobre el uso de certificados personalizados para la comunicación de servicios internos, consulte Configurar certificados personalizados internos para Tableau Server.

Utilice la herramienta por nodo recover-coordination-service-cert para reemplazar el certificado mTLS y el material de claves del servicio de coordinación (ZooKeeper) directamente en el disco.Debe aplicar el mismo par de certificado/clave de servidor y cliente en cada nodo.

Requisitos previos

• Debe ejecutar la herramienta en un nodo Tableau Server existente, como root o como el usuario Ejecutar como de Tableau sin privilegios.

• Tenga preparados un par de certificado/clave de servidor y un par de certificado/clave de cliente.Se admiten archivos de cadena y frases de contraseña opcionales para claves cifradas.

Recuperar el certificado personalizado

1. Si aún no tiene un certificado, genere un nuevo par autofirmado una vez, en un solo nodo, y copie los archivos idénticos en cada nodo.El par debe reflejar lo que TSM genera internamente (EC P-256, autofirmado, CN=*):

   openssl req -x509 -newkey ec -pkeyopt ec_paramgen_curve:prime256v1 -days 1825 -nodes -subj "/CN=*" -keyout server.key -out server.crt

   openssl req -x509 -newkey ec -pkeyopt ec_paramgen_curve:prime256v1 -days 1825 -nodes -subj "/CN=*" -keyout client.key -out client.crt

   Para generar una clave cifrada con frase de contraseña, omita -nodes.OpenSSL solicita una frase de contraseña, que luego pasa con la opción --server-passphrase o --client-passphrase correspondiente.

2. Ejecute la herramienta de recuperación en el nodo inicial.Comience con un nodo que aloje el servicio de coordinación para que el cuórum pueda volver a formarse:

   recover-coordination-service-cert --server-cert server.crt --server-key server.key --client-cert client.crt --client-key client.key [--server-chain <file.crt>] [--client-chain <file.crt>] [--server-passphrase <passphrase>] [--client-passphrase <passphrase>]

   La herramienta valida previamente las entradas antes de detener nada: confirma que el certificado se analiza como X.509, que cualquier frase de contraseña proporcionada descifra la clave y que el primer certificado de cualquier cadena proporcionada es el emisor de la hoja.A continuación, detiene los servicios locales, aplica un parche a la configuración y al almacén de claves de cada servicio y reinicia el plano de control (primero ZooKeeper, luego el agente de administración y después el resto).

3. Ejecute exactamente el mismo comando en todos los nodos restantes, utilizando los mismos certificados y archivos de clave.Recupere primero los nodos que albergan el servicio de coordinación y luego recupere los nodos restantes.El clúster no se recupera hasta que la herramienta se haya ejecutado en todos los nodos; cualquier nodo que aún contenga el almacén de claves anterior no se vuelve a unir.

   Nota: En esta fase, tsm status muestra los servicios empresariales en estado de error.Esto es lo esperado.La herramienta aplica parches a los servicios, pero los deja detenidos.El comando set del siguiente paso los inicia.

4. Una vez que hayan terminado todos los nodos, ejecute el siguiente comando set una vez desde el controlador o el nodo inicial para sincronizar la configuración persistente del servicio de coordinación con lo que ahora hay en el disco:

   tsm security coordination-service-internal-cert set --server-cert server.crt --server-key server.key --client-cert client.crt --client-key client.key [--server-chain <file.crt>] [--client-chain <file.crt>] [--server-passphrase <passphrase>] [--client-passphrase <passphrase>]

   La herramienta de recuperación imprime este comando para usted, precompletado con las rutas que pasó.Le recuerda que vuelva a añadir las opciones de frase de contraseña, pero nunca muestra el valor de la frase de contraseña.El cortocircuito de certificado idéntico del comando sincroniza la configuración y vuelve a poner en funcionamiento todo el clúster, incluidos los servicios empresariales detenidos, lo que borra el estado de error.

Solución de problemas: Cada ejecución escribe un registro estructurado en ${TABLEAU_SERVER_DATA_DIR}/logs/app-recover-coordination-service-cert.log.

Nota: En Windows, un contenedor equivalente, recover-coordination-service-cert.cmd, admite las mismas opciones y se comporta de la misma manera.