Configurar certificados personalizados internos para Tableau Server
Versión: se ha añadido en la versión 2026.3.0.
De forma predeterminada, Tableau Server usa certificados autofirmados para cifrar las comunicaciones entre los servicios y componentes internos.A partir de la versión 2026.3.0, los administradores de servidor tienen la opción de reemplazar esos certificados generados por TSM por certificados personalizados emitidos por su propia PKI empresarial o autoridad de certificado (CA).En este tema se explica cómo configurar Tableau Server para que use certificados personalizados en sus comunicaciones internas de servicio a servicio en lugar de los certificados autofirmados predeterminados.(Algunos certificados son específicos de un servicio y otros son para componentes que usan varios servicios.Para simplificar, aquí utilizamos el término “servicios” para incluir ambos casos).
Nota: Los certificados personalizados y los comandos de tsm para configurar Tableau Server descritos aquí son específicos de la comunicación interna entre los servicios de Tableau Server.Estos certificados son distintos del SSL externo (puerta de enlace), que interactúa con navegadores y otros clientes externos.Para obtener información sobre cómo configurar SSL externo, consulte Configurar SSL para tráfico HTTP externo a y desde Tableau Server.Le recomendamos que utilice un certificado independiente para el SSL de la puerta de enlace externa.
¿Por qué usar certificados personalizados?
No todas las instalaciones de Tableau Server necesitan certificados personalizados, pero para las empresas que deben cumplir los requisitos de cumplimiento de sectores regulados (por ejemplo, FIPS), poder usar certificados personalizados en lugar de los certificados autofirmados es crucial.También pueden ser necesarios para resolver los análisis de seguridad que marcan certificados internos autofirmados.Sus equipos de TI y seguridad deberían indicarle si necesita usar certificados personalizados.
Servicios que admiten certificados personalizados
Los siguientes servicios internos admiten certificados personalizados.Use el nombre del servicio con la opción --name de tsm security internal-cert set y tsm security internal-cert reset.Para ver los nombres de servicio disponibles, ejecute tsm security internal-cert list sin la opción --name.
TLS simple (certificado de servidor y clave, con una cadena opcional):
apiGateway,gatewayInternal,hyper,jmx,thrift,tsigLogs,relationshipService,recommendationsService,vizportalMetadataApiybackgrounderMetadataApiTLS mutuo (mTLS), que requiere un certificado de cliente y una clave además del certificado de servidor:
activemqMTLS,coordinationServiceNota: El servicio de coordinación también se puede configurar con su propio comando si decide utilizar un certificado independiente para ello.Para obtener más información, consulte (Opcional) Configurar un certificado personalizado independiente para el servicio de coordinación a continuación.
Además, tsm security internal-cert set-all orquesta los siguientes subsistemas preexistentes:
SSL del repositorio (PostgreSQL), SSL del controlador de TSM y OpenSearch (servidor de índice y búsqueda).
Cuando usa
set-all, el certificado de servidor se asigna a los certificados de nodo y de servicio, el certificado de cliente se asigna al cliente de ActiveMQ y al administrador de OpenSearch, y la cadena se asigna a la CA de OpenSearch.
Requisitos del certificado
Los certificados y las claves que proporcione a estos comandos deben cumplir los siguientes requisitos:
Los certificados deben ser certificados X.509 codificados con PEM.Las claves privadas deben tener el formato PKCS#1 o PKCS#8.
Se admiten los algoritmos de clave RSA y ECC (EC/ECDSA).Se rechazan las claves DSA.
Se admiten claves cifradas.Use las opciones
--passphrasey--client-passphrasepara proporcionar la frase de contraseña.Proporcionar un archivo de cadena es opcional, pero la mayoría de las implementaciones requieren uno.Para una entidad de certificación privada o interna, la entidad de certificación raíz debe incluirse en la cadena.La CA raíz solo se puede omitir si el certificado fue emitido por una CA pública conocida en la que la JVM ya confía.La CA raíz también debe instalarse en el sistema operativo y en el almacén de confianza de Java en todos los nodos.
Verificación del nombre de host: el certificado del controlador de TSM debe incluir el nombre de dominio completamente calificado (FQDN) del nodo del controlador como nombre común (CN) o como nombre alternativo del sujeto (SAN) de DNS—por ejemplo,
DNS:<value returned by the Linux hostname command>.Esto por sí solo satisface la validación.Otros certificados internos no validan nombres de host en este momento.Para mantener el certificado válido si el controlador de TSM se traslada en algún momento a otro nodo, emita el certificado con SAN que cubran todos los nodos del clúster que puedan ejecutar el controlador, o use una SAN comodín para el dominio compartido (por ejemplo,DNS:*.corp.example.com).Uso extendido de clave (EKU): no establezca el EKU únicamente en
serverAuthoclientAuth.Puede dejar el EKU sin configurar o configurarlo con ambos valores, pero no con uno individualmente.
Configurar Tableau Server con certificados personalizados para la comunicación interna
La funcionalidad de certificados personalizados Tableau Server introduce una serie de comandos nuevos de la CLI de TSM.Permiten a los administradores designar los certificados que Tableau Server debe usar para la comunicación entre servicios internos.Los nuevos comandos incluyen una serie de subcomandos en tsm security internal-cert y una serie similar de subcomandos en tsm security coordination-service-internal-cert que son específicos del servicio de coordinación.
Configurar certificados personalizados para servicios individuales
Un administrador del servidor puede configurar un certificado personalizado para servicios individuales.
Para configurar certificados personalizados por servicio individual:
Use
tsm security internal-cert listpara ver los certificados internos configurados.Use
tsm security internal-cert resetpara restablecer un certificado interno para un servicio específico al certificado autofirmado predeterminado.Use
tsm security internal-cert setpara configurar un certificado interno para un servicio específico.Use
tsm security coordination-service-internal-cert setpara configurar un certificado interno para el servicio de coordinación.
Configurar certificados personalizados de forma masiva
Un administrador del servidor también puede establecer certificados personalizados de forma masiva para todos los servicios aplicables.
Para configurar certificados personalizados de forma masiva (todos los servicios aplicables):
Use
tsm security internal-cert listpara ver los certificados internos configurados.Use
tsm security internal-cert reset-allpara restablecer los certificados internos de todos los servicios aplicables al certificado autofirmado predeterminado.Use
tsm security internal-cert set-allpara configurar un certificado interno para todos los servicios aplicables.
Nota: Para excluir servicios específicos al usar los comandos set-all o reset-all, utilice la opción --exclude <service>.
(Opcional) Configurar un certificado personalizado independiente para el servicio de coordinación
El certificado del servicio de coordinación (ZooKeeper) se puede configurar por separado mediante los comandos tsm security coordination-service-internal-cert y tiene requisitos y limitaciones específicos.Es posible que desee configurar el servicio de coordinación por separado por razones de seguridad, o para limitar el impacto si algo sale mal y necesita restablecer un certificado.
Use
tsm security coordination-service-internal-cert listpara ver el certificado interno configurado para el Servicio de coordinación.Use
tsm security coordination-service-internal-cert resetpara restablecer un certificado interno para el servicio de coordinación al certificado autofirmado predeterminado.Use
tsm security coordination-service-internal-cert setpara configurar un certificado personalizado para el Servicio de coordinación.
Si hay problemas con el certificado del servicio de coordinación, debe seguir unos pasos específicos para evitar una reinstalación completa con copia de seguridad de Tableau Server.Para obtener más información, consulte Recuperación de un certificado personalizado del servicio de coordinación.