Ayuda de Tableau Server en Windows

La compatibilidad con TLS para la puerta de enlace independiente se encuentra en Tableau Server 2022.1.2 y versiones posteriores.

Tanto Tableau Server como la puerta de enlace independiente de Tableau Server usan el módulo SSL (mod_ssl) creado con OpenSSL para implementar funciones de seguridad de la capa de transporte (TLS).

Debido a su complejidad y naturaleza sensible a la seguridad, recomendamos que la configuración de TLS sea planificada e implementada por un profesional de TI que esté familiarizado con TLS en Apache httpd.

En muchos casos, usamos "SSL" en los nombres de las cosas para que sean compatibles con las propiedades o los conceptos de configuración TSM o Apache httpd existentes. "SSL" en realidad se refiere a versiones de protocolo que ahora se consideran inseguras y obsoletas. Sin embargo, el nombre heredado persiste y, a menudo, se usa indistintamente con TLS como convención. Tableau Server y la puerta de enlace independiente no son compatibles con los protocolos de la era SSL.

Ejemplo de configuración de TLS

Para ver un ejemplo de configuración de TLS de un extremo a otro, consulte Configurar SSL/TLS desde el equilibrador de carga a Tableau Server(El enlace se abre en una ventana nueva) en la Guía de implementación empresarial. El tema muestra un ejemplo paso a paso de la configuración de TLS en Tableau Server en Linux en una implementación de AWS. Aunque el ejemplo describe el proceso para Linux, el ejemplo de configuración también es útil para Tableau Server en Windows.

Descripción general de la configuración de TLS

Puede configurar TLS para HTTPS en cualquiera de las siguientes secciones de la ruta de Internet a Tableau Server:

• Desde la red externa (Internet o equilibrador de carga frontal) a la puerta de enlace independiente
• De puerta de enlace independiente a Tableau Server
• Para el proceso de limpieza (HK) de Tableau Server a la puerta de enlace independiente
  

Este tema proporciona procedimientos para configurar cada uno de estos saltos.

Deberá realizar cambios de configuración en los equipos de la puerta de enlace independiente y en el clúster de Tableau Server.

Requisitos y consideraciones del certificado

Los requisitos de certificado para la puerta de enlace independiente son los mismos que los especificados para Tableau Server "SSL externo". Consulte Requisitos de los certificados SSL.

Otras consideraciones:

• Para simplificar la administración y la implementación de certificados, y como práctica recomendada de seguridad, recomendamos usar certificados generados por una autoridad de certificación (CA) de terceros de confianza. Como alternativa, puede generar certificados autofirmados o usar certificados de una PKI para TLS. En este caso, preste atención a las opciones de configuración para confiar en certificados de CA y validar certificados.
• Si su implementación requiere el uso de un archivo de cadena de certificados, consulte el artículo de la base de conocimientos Configurar TLS en una puerta de enlace independiente al usar un certificado que tiene una cadena de certificados(El enlace se abre en una ventana nueva).
• Si está ejecutando varias instancias de la puerta de enlace independiente, debe distribuir certificados a cada equipo en la misma ubicación (ruta del archivo).
• Si está ejecutando una implementación de Tableau Server con más de un nodo, los certificados que carga con los comandos de TSM se distribuyen automáticamente entre los nodos. Ejecute todos los comandos de TSM en el nodo inicial.

Configuraciones globales de TLS

Las siguientes configuraciones son globales. Las opciones de configuración a continuación se refieren a las claves de configuración que deben configurarse con el dominio tsm configuration set. Los comandos deben incluir la opción --force-keys.

Es poco probable que tenga que cambiar estos valores.

Tenga en cuenta que cada par de claves comparte el mismo formato de nomenclatura, donde la cadena tsig establece el valor de la puerta de enlace independiente. La clave que no incluye la cadena tsig establece el valor para el proceso de puerta de enlace en el clúster de Tableau Server.

Si no establece un valor para tsig, entonces se usará el valor predeterminado de la puerta de enlace de Tableau Server.

gateway.tsig.httpd.socache o gateway.httpd.socache

Predeterminado: shmcb

Valor alternativo: dbm

El tipo de almacenamiento de la caché de sesión SSL global/entre procesos. Para obtener más información sobre los tipos de almacenamiento shmcb y dbm, consulte la Directiva SSLSessionCache(El enlace se abre en una ventana nueva) en el sitio web de Apache.

gateway.tsig.httpd.shmcb.size o gateway.httpd.shmcb.size

Predeterminado: 2048000

Cantidad de memoria, en bytes, a usar para el búfer circular cuando se usa el tipo de almacenamiento shmcb.

Nota: Otra clave global es gateway.tsig.ssl.key.passphrase.dialog. Si corresponde, solo hay una única configuración para gateway.tsig.ssl.key.passphrase.dialog. Por diseño, recopila frases de contraseña para todos los archivos de clave privada encriptados en la configuración. Las secciones aplicables más adelante en este tema describen el uso de esta clave.

TLS externo a puerta de enlace independiente

El proceso de configuración de conexiones externas para terminar TLS en los servidores de puerta de enlace independiente es conceptualmente similar a cómo se configura "SSL externo" para un clúster de Tableau Server. La mecánica es diferente. TSM no distribuye automáticamente material de certificados y claves a los nodos de puerta de enlace independiente. Además, la puerta de enlace independiente no proporciona automáticamente una forma de proporcionar la frase de contraseña de la clave TLS opcional en el inicio.

Los siguientes pasos describen cómo configurar TLS desde una fuente externa a equipos de puerta de enlace independientes.

Paso 1: Distribuir archivos a los equipos de la puerta de enlace independiente

1. Coloque los certificados y los archivos relacionados en una ubicación y con permisos que permitan que el servicio de la puerta de enlace independiente (tsig-httpd) los lea. Recomendamos restringir el acceso a los archivos clave para que solo el servicio de la puerta de enlace independiente pueda leerlos.
2. Coloque todos los archivos, certificados y claves exactamente en las mismas ubicaciones en todos los equipos de la puerta de enlace independiente. Coloque los archivos fuera de las rutas TSIG_INSTALL y TSIG_DATA para que no se eliminen si reinstala o actualiza la puerta de enlace independiente.

Paso 2: Actualizar las variables de entorno en los equipos de la puerta de enlace independiente

En cada equipo de la puerta de enlace independiente, configure las variables de entorno TSIG_PORT y TSIG_PROTOCOL en el puerto 443 (por convención, pero se admite cualquier número de puerto TCP no utilizado) yhttps respectivamente.

Cambie estos valores volviendo a ejecutar el script posterior a la instalación para proporcionar un valor diferente para TSIG_PORT y TSIG_PROTOCOL. De forma predeterminada, la script se encuentra en C:\Program Files\Tableau\Tableau Server\independentgateway\scripts\initialize-tsig.bat.

Paso 3: Establecer las propiedades de configuración de TLS en Tableau Server

La mayoría de las claves de configuración de TSM en la siguiente tabla se derivan de las directivas httpd de Apache. Como tal, los valores de configuración para estas claves de configuración de TSM se asignan directamente a los valores válidos para la directiva de Apache correspondiente. Los enlaces a las directivas correspondientes se incluyen en la siguiente tabla.

En algunos casos. la configuración utilizará configuraciones de respaldo si no se establece una clave en particular. Estos se enumeran en la siguiente tabla.

Las opciones de configuración en la siguiente tabla se refieren a las claves de configuración que debe establecer con el dominio tsm configuration set. Todos los comandos deben incluir la opción --force-keys. Por ejemplo:

tsm configuration set -k gateway.tsig.ssl.enabled -v true --force-keys

Después de establecer las claves de configuración, debe ejecutar tsm pending-changes apply.

Puerta de enlace independiente a Tableau Server

Esta sección describe cómo cifrar la conexión entre la puerta de enlace independiente y Tableau Server.

Paso 1: Configurar y habilitar TLS en Tableau Server

Consulte Configurar SSL para tráfico HTTP externo a y desde Tableau Server.

Tenga en cuenta que "SSL" es en realidad una implementación de TLS y "externo" se refiere a una conexión externa a Tableau Server. En este escenario, la puerta de enlace independiente es la conexión "externa".

Recomendamos habilitar y verificar que los clientes puedan conectarse con TLS directamente a Tableau Server antes de configurar la puerta de enlace independiente.

Paso 2: Distribuir archivos de certificado en equipos de puerta de enlace independiente

Deberá distribuir archivos de certificado en las computadoras de la puerta de enlace independiente si se cumple alguna de las siguientes condiciones:

• Está utilizando certificados PKI o autofirmados para los certificados TLS en la implementación de Tableau Server.
• Está habilitando TLS mutuo en la conexión de la puerta de enlace independiente a Tableau Server.
  

Al igual que con todos los archivos relacionados con TLS en los equipos de la puerta de enlace independiente, debe colocar los archivos en las mismas rutas en cada equipo. Todos los nombres de archivo para los archivos compartidos TLS también deben ser iguales.

Paso 3: Establecer las propiedades de configuración de TLS en Tableau Server

La mayoría de las claves de configuración de TSM en la siguiente tabla se derivan de las directivas httpd de Apache. Como tal, los valores de configuración para estas claves de configuración de TSM se asignan directamente a los valores válidos para la directiva de Apache correspondiente. Los enlaces a las directivas correspondientes se incluyen en la siguiente tabla.

En algunos casos. la configuración utilizará configuraciones de respaldo si no se establece una clave en particular. Estos se enumeran en la siguiente tabla.

Las opciones de configuración en la siguiente tabla se refieren a las claves de configuración que debe establecer con el dominio tsm configuration set. Todos los comandos deben incluir la opción --force-keys. Por ejemplo:

tsm configuration set -k gateway.tsig.ssl.enabled -v true --force-keys

Después de establecer las claves de configuración, debe ejecutar tsm pending-changes apply.

Paso 4: Cargar el certificado de CA raíz en Tableau Server

Si el certificado TLS que está utilizando en los equipos de la puerta de enlace independiente es un certificado autofirmado o generado por PKI, debe realizar este paso adicional. Si el certificado TLS que está utilizando en el equipo de la puerta de enlace independiente es un certificado de una autoridad de certificación de terceros de confianza, puede omitir este paso.

Copie el certificado de CA raíz utilizado para los equipos de la puerta de enlace independiente en el nodo inicial de Tableau Server y luego ejecute los siguientes comandos:

tsm security custom-cert add -c <root-certificate-file-name>.pem
tsm pending-changes apply

Mantener la conexión entre Tableau Server y la puerta de enlace independiente

El proceso de mantenimiento (HK) mantiene el estado de configuración entre la implementación de Tableau Server y la puerta de enlace independiente.

Cuando se instala la puerta de enlace independiente, la configuración predeterminada proporciona una conexión HTTP sin cifrar. La puerta de enlace independiente escucha las solicitudes de mantenimiento que se originan en el clúster de Tableau Server (como lo definió durante la instalación).

Si ejecuta varias instancias de la puerta de enlace independiente, todos los servidores deben aceptar solicitudes de mantenimiento con TLS o todos sin TLS. En esta sección se describe cómo configurar la conexión de HK para TLS. Este proceso requiere reiniciar Tableau Server y provocará un tiempo de inactividad.

Al igual que con los escenarios TLS anteriores descritos anteriormente, muchos de los cambios de configuración para la conexión HK se establecen en las propiedades de configuración administradas por el clúster de Tableau Server. Sin embargo, la configuración de HK TLS requiere pasos adicionales en la puerta de enlace independiente.

Paso 1: Distribuir archivos a los equipos de la puerta de enlace independiente

Si ha habilitado TLS con una red externa y una puerta de enlace independiente, puede usar el mismo certificado y archivos clave para la conexión HK.

Si usa los mismos activos, el único otro archivo de certificado que necesita distribuir es el certificado de CA raíz para el certificado que usa Tableau Server. Si el certificado TLS presentado por Tableau Server lo genera una CA de terceros de confianza, no es necesario que copie un certificado de CA raíz en los equipos de la puerta de enlace independiente.

1. Coloque los certificados y los archivos relacionados en una ubicación y con permisos que permitan que el servicio de la puerta de enlace independiente (tsig-httpd) los lea. Recomendamos restringir el acceso a los archivos clave para que solo el servicio de la puerta de enlace independiente pueda leerlos.
2. Coloque todos los archivos, certificados y claves exactamente en las mismas ubicaciones en todos los equipos de la puerta de enlace independiente.

Paso 2: Importar el certificado de CA raíz de la puerta de enlace independiente en el almacén de confianza de Tableau Server

Si el certificado TLS que está utilizando en los equipos de la puerta de enlace independiente es un certificado autofirmado o generado por PKI, debe realizar este paso adicional. Si el certificado TLS que está utilizando en el equipo de la puerta de enlace independiente es un certificado de una autoridad de certificación de terceros de confianza, puede omitir este paso.

Solo puede cargar un certificado de CA raíz en Tableau Server. Por lo tanto, si ya cargó un certificado de CA raíz, el mismo certificado de CA raíz debe firmar el certificado que usará para la conexión HK.

Copie el certificado de CA raíz utilizado para los equipos de la puerta de enlace independiente en el nodo inicial de Tableau Server y luego ejecute los siguientes comandos:

tsm security custom-cert add -c <root-certificate-file-name>.pem
tsm pending-changes apply

Paso 3: Actualizar las variables de entorno en los equipos de la puerta de enlace independiente

En cada equipo de la puerta de enlace independiente, configure la variable de entorno TSIG_HK_PROTOCOL como https. Puede especificar un puerto alternativo para HK (el predeterminado es 21319) configurando la variable de entorno TSIG_HK_PORT también.

Cambie estos valores volviendo a ejecutar el script posterior a la instalación para proporcionar un valor diferente para TSIG_HK_PROTOCOL y TSIG_HK_PORT. De forma predeterminada, la script se encuentra en C:\Program Files\Tableau\Tableau Server\independentgateway\scripts\initialize-tsig.bat.

Paso 4: Actualizar httpd.conf.stub en la puerta de enlace independiente

Debe actualizar el archivo httpd.conf.stub en cada servidor de puerta de enlace independiente. El archivo httpd.conf.stub se utiliza para generar la configuración global de httpd.

El archivo se encuentra en TSIG_DATA/config/httpd.conf.stub.

1. Abra el archivo httpd.conf.stub en un editor de texto. Debe actualizar el bloque <VirtualHost *:${TSIG_HK_PORT}> con detalles de configuración de HK. El siguiente ejemplo muestra los cambios necesarios:

   <VirtualHost *:${TSIG_HK_PORT}>
    SSLEngine on
    #TLS# SSLHonorCipherOrder on
    #TLS# SSLCompression off
    SSLCertificateFile /etc/ssl/certs/tsig-ssl.crt
    SSLCertificateKeyFile /etc/ssl/private/tsig-ssl.key
    SSLCACertificateFile /etc/ssl/certs/rootTS-CACert.pem 
   #TLS# SSLCARevocationFile /path/to/file
   </VirtualHost>				

   Notas:

   • De forma predeterminada, cada línea en el bloque <VirtualHost *:${TSIG_HK_PORT}> está comentado por la cadena #TLS#. Para "habilitar" una línea en el bloque, elimine la cadena #TLS# al principio de la línea.
   • Al igual que con todas las configuraciones de httpd, cada archivo al que se hace referencia requiere una ruta absoluta al archivo.
   • SSLCACertificateFile especifica el certificado de CA raíz para la CA que genera el certificado presentado por Tableau Server. Solo necesita configurar esto si el certificado TLS que utiliza Tableau Server está autofirmado o lo genera una PKI.

2. Detenga el servicio tsig-httpd.

   Comenzará a recibir comprobaciones de estado fallidas en este punto, lo que indica en TSM que su componente de puerta de enlace independiente está degradado.

3. Copie httpd.conf.stub a httpd.conf.

   El archivo httpd.conf se guarda en el mismo directorio. Sobrescriba el archivo httpd.conf con el archivo httpd.conf.stub.

4. Inicie el servicio tsig-httpd.

   Continuará recibiendo comprobaciones de estado fallidas en este punto, lo que indica en TSM que su componente de puerta de enlace independiente está degradado. Estas comprobaciones de estado fallarán hasta que haya completado la configuración como se describe en los siguientes pasos.

Paso 5: Establecer las propiedades de configuración de TLS en Tableau Server

La aplicación de los cambios de configuración requiere un reinicio del servidor. Para evitar tiempos de espera prolongados, recomendamos detener el servidor antes de aplicar los cambios que establezca aquí. En el Paso 6, ejecutará un comando de actualización y luego reiniciará TSM. Detenga TSM en esta fase de la configuración da como resultado un tiempo de inactividad más breve.

1. Detenga TSM. Ejecute el comando siguiente:

   tsm stop

2. La mayoría de las claves de configuración de TSM en la siguiente tabla se derivan de las directivas httpd de Apache. Como tal, los valores de configuración para estas claves de configuración de TSM se asignan directamente a los valores válidos para la directiva de Apache correspondiente. Los enlaces a las directivas correspondientes se incluyen en la siguiente tabla.

   Hay nombres de propiedades de configuración de TSM que incluyen el nodo hk en el prefijo: gateway.tsig.hk.xyz.abc. Si se establece, estos valores se utilizan para la configuración de HK TLS. Si no se establece, muchas propiedades de configuración utilizarán la reserva para gateway.tsig.xyz.abc, que en sí mismos pueden o no recurrir a gateway.xyz.abc. La propiedad de configuración alternativa se muestra cuando es relevante.

   Las opciones de configuración en la siguiente tabla se refieren a las claves de configuración que debe establecer con el dominio tsm configuration set. Todos los comandos deben incluir la opción --force-keys. Por ejemplo:

   tsm configuration set -k gateway.tsig.hk.ssl.enabled -v true --force-keys

   Propiedad de configuración	Descripción	Directiva de Apache correspondiente
   gateway.tsig.hk.ssl.enabled (Sin respaldo)	Requerido. Habilita el TLS. Debe estar configurado como true.	N/D
   gateway.tsig.hk.ssl.cert.file_name Respaldo: gateway.tsig.ssl.cert.file_name	Ruta + nombre de archivo del archivo de certificado para la puerta de enlace independiente. Por ejemplo, /etc/ssl/certs/tsig-ssl.crt.	SSLCertificateFile(El enlace se abre en una ventana nueva)
   gateway.tsig.hk.ssl.key.file_name Respaldo: gateway.tsig.ssl.key.file_name	Ruta + nombre de archivo del archivo de clave de certificado para la puerta de enlace independiente. Por ejemplo, /etc/ssl/keys/tsig-ssl.key.	SSLCertificateKeyFile(El enlace se abre en una ventana nueva)
   gateway.tsig.ssl.key.passphrase.dialog (propiedad global)	Si su clave requiere una frase de contraseña, debe configurar esta clave con la cadena correcta esperada por la directiva Apache httpd SSLPassPhraseDialog. Esta configuración es global para la puerta de enlace independiente.	SSLPassPhraseDialog(El enlace se abre en una ventana nueva)
   gateway.tsig.hk.ssl.protocols Respaldos: gateway.tsig.ssl.protocols ssl.protocols	Especifique las versiones admitidas de SSL/TLS. Consulte la Lista de comprobación de mejora de la seguridad para obtener más información sobre la configuración predeterminada.	Protocolos SSL(El enlace se abre en una ventana nueva)
   gateway.tsig.hk.ssl.ciphersuite Respaldos: gateway.tsig.ssl.ciphersuite ssl.ciphersuite	Especifica cifrados que el cliente puede negociar para la conexión SSL.	SSLCipherSuite(El enlace se abre en una ventana nueva)
   gateway.tsig.hk.ssl.client_certificate_login.required (Sin respaldo)	Establezca este valor en true para habilitar TLS mutuo en esta conexión. También debe configurar la propiedad gateway.tsig.hk.ssl.cacert.file como se especifica a continuación.	N/D
   gateway.tsig.hk.ssl.cacert.file Respaldo: gateway.tsig.ssl.cacert.file	Especifica el archivo que contiene los certificados de CA concatenados para el proceso de autenticación del cliente.	SSLCACertificateFile(El enlace se abre en una ventana nueva)
   gateway.tsig.hk.ssl.revocation.file Respaldo: gateway.tsig.hk.ssl.revocation.file	Especifica el archivo que contiene las listas de revocación de CA concatenadas para clientes que se conectan a la puerta de enlace independiente.	Archivo de revocación SSLCAR(El enlace se abre en una ventana nueva)

3. Aplique los cambios. Ejecute el comando siguiente:

   tsm pending-changes apply.

Paso 6: Actualizar el archivo de configuración JSON de la puerta de enlace independiente

El paso final es actualizar la configuración de la puerta de enlace independiente con un archivo JSON que refleje el cambio a https y, si corresponde, otros números de puerto.

Consulte el tema de instalación para obtener más información sobre la edición de este archivo. Consulte el Paso 3: Habilite la puerta de enlace independiente en Tableau Server.

Una vez actualizado el archivo JSON, ejecute los siguientes comandos:

tsm topology external-services gateway update -c tsig.json
tsm start

Solución de problemas

Para obtener sugerencias de solución de problemas, consulte Solución de problemas de la puerta de enlace independiente de Tableau Server(El enlace se abre en una ventana nueva) en la Guía de implementación empresarial (EDG). La EDG proporciona un ejemplo de implementación de Tableau Server en Linux. Los pasos de solución de problemas son útiles para las versiones de Windows o Linux de Tableau Server.