tsm security


Utilizza i comandi tsm security per configurare Tableau Server il supporto per SSL esterno (gateway) o repository (Postgres) SSL.La configurazione del repository SSL include l’opzione per attivare SSL su connessioni dirette da client Tableau, inclusi Tableau Desktop, Tableau Mobile e browser Web, al repository.

Prerequisiti

Prima di configurare SSL, è necessario acquisire i certificati e quindi copiarli nel computer che esegue il Tableau Server processo di gateway.Per consentire connessioni dirette dai client è necessaria una preparazione aggiuntiva.Per maggiori informazioni, consulta i seguenti articoli:

Configurare SSL per il traffico HTTP esterno da e verso Tableau Server

Configurare SSL per le comunicazioni interne a Postgres

 Per informazioni sull’autenticazione SSL reciproca (bidirezionale), consulta Configurare l’autenticazione SSL reciproca e tsm authentication mutual-ssl commands.

tsm security authorize-credential-migration

Autorizza un utente di Tableau a eseguire la migrazione delle credenziali incorporate da un’installazione Tableau Server a un sito Tableau Cloud utilizzando Content Migration Tool.Per migrare i contenuti, sia Tableau Server che Tableau Cloud devono disporre di una licenza valida di Advanced Management.Per maggiori informazioni, consulta Migrazione di cartelle di lavoro e origini dati con credenziali incorporate.

È possibile annullare l’autorizzazione utilizzando il comando tsm security cancel-credential-migrations.

tsm security authorize-credential-migration --source-site-url-namespace <Tableau Server site ID> --destination-site-url-namespace <Tableau Cloud site ID> --destination-server-url <Tableau Cloud site url> --authorized-migration-runner <username> --destination-public-encryption-key <public key>

Opzioni

--source-site-url-namespace

Obbligatorio.ID del sito del sito Tableau Server.L’ID del sito viene utilizzato nell’URL per identificare in modo univoco il sito.

Ad esempio, un sito denominato West Coast Sales può avere un ID del sito di west-coast-sales.

--destination-site-url-namespace

Obbligatorio.ID del sito del sito Tableau Cloud.L’ID del sito viene utilizzato nell’URL per identificare in modo univoco il sito.

--destination-server-url

Obbligatorio.URL del pod in cui è distribuito il tuo sito Tableau Cloud.L’URL specificato deve includere una barra finale (/).

Il pod viene mostrato nella prima parte dell’URL del sito dopo aver effettuato l’accesso a Tableau Cloud.Ad esempio, https://10az.online.tableau.com/ è il pod Stati Uniti - Ovest (10AZ).Per maggiori informazioni sui pod, consulta la pagina Salesforce Trust(Il collegamento viene aperto in una nuova finestra).

--authorized-migration-runner

Obbligatorio.Nome utente dell’utente Tableau Server autorizzato ad eseguire la migrazione delle credenziali incorporate.

--destination-public-encryption-key

Obbligatorio.Specifica la chiave pubblica generata sul sito Tableau Cloud.

--expiration-time-in-days

Facoltativo.Numero di giorni prima della scadenza dell’autorizzazione.Il valore predefinito è 7 giorni.

Versione: ritirato nella versione 2023.1.A partire dalla versione 2023.1.0 questa opzione non è più valida e, se utilizzata, genererà un errore.Il valore di scadenza è hard-coded a 7 giorni.

Esempio

L’esempio seguente autorizza l’utente "admin" a eseguire la migrazione delle cartelle di lavoro e delle origini dati pubblicate con credenziali incorporate dal sito Tableau Server "ExampleA" al sito Tableau Cloud "ExampleB".L’autorizzazione scadrà tra 9 giorni.

tsm security authorize-credential-migration --source-site-url-namespace ExampleA --destination-site-url-namespace ExampleB --destinationServerUrl https://10ay.online.tableau.com/ --authorized-migration-runner admin --destination-public-encryption-key <public key> --expiration-time-in-days 9

tsm security cancel-credential-migrations

Revoca le autorizzazioni concesse per la migrazione delle credenziali incorporate utilizzando Content Migration Tool.Per maggiori informazioni, consulta Migrazione di cartelle di lavoro e origini dati con credenziali incorporate.

Riepilogo

tsm security cancel-credential-migrations --source-site-url-namespace <Tableau Server site ID>

Opzioni

--source-site-url-namespace

Obbligatorio.ID del sito del sito Tableau Server.L’ID del sito viene utilizzato nell’URL per identificare in modo univoco il sito.

Ad esempio, un sito denominato West Coast Sales può avere un ID del sito di west-coast-sales.

tsm security coordination-service-internal-cert list

Versione: aggiunto nella versione 2026.3.0.

Elenca il certificato configurato del servizio di coordinamento (ZooKeeper).

Riepilogo

tsm security coordination-service-internal-cert list [global options]

tsm security coordination-service-internal-cert reset

Versione: aggiunto nella versione 2026.3.0.

Ripristina il certificato autofirmato generato da TSM per il servizio di coordinamento (ZooKeeper).Come per l’impostazione del certificato, questa operazione avvia una rotazione progressiva a livello di cluster.

Riepilogo

tsm security coordination-service-internal-cert reset [global options]

tsm security coordination-service-internal-cert set

Versione: aggiunto nella versione 2026.3.0.

Imposta un certificato mTLS personalizzato per il servizio di coordinamento (ZooKeeper).Poiché il servizio di coordinamento utilizza uno spazio dei nomi ZooKeeper separato e una rotazione in tre fasi, viene configurato con un proprio comando anziché con tsm security internal-cert set.

L’impostazione di questo certificato avvia una rotazione progressiva in tre fasi (dual-trust) a livello di cluster che richiede circa 10-15 minuti.

Attenzione: a causa di una dipendenza circolare, il ripristino del servizio di coordinamento in caso di errore di rotazione può risultare difficile e la procedura di ripristino dedicata comporta un periodo di inattività.Data l’elevata criticità di questa implementazione, ti consigliamo di verificare preventivamente la compatibilità di questo certificato di servizio in un ambiente non di produzione.Per le fasi di ripristino, consulta Configurazione di certificati personalizzati interni per Tableau Server.

Riepilogo

tsm security coordination-service-internal-cert set --server-cert <file.crt> --server-key <file.key> --client-cert <file.crt> --client-key <file.key> [--server-chain <file.crt>] [--client-chain <file.crt>] [--server-passphrase <passphrase>] [--client-passphrase <passphrase>] [global options]

Opzioni

--server-cert <file.crt>

Obbligatorio.Specifica il percorso di un file di certificato server X.509 valido con codifica PEM.

--server-key <file.key>

Obbligatorio.Specifica il percorso di un file chiave privata valido per il server, RSA o ECC (PKCS#1 o PKCS#8).

--client-cert <file.crt>

Obbligatorio.Specifica il percorso di un file di certificato client X.509 valido con codifica PEM.

--client-key <file.key>

Obbligatorio.Specifica il percorso di un file di chiave privata client RSA o ECC valido (PKCS#1 o PKCS#8).

--server-chain <file.crt>

Facoltativo.Specifica il percorso del file della catena del certificato server.

--client-chain <file.crt>

Facoltativo.Specifica il percorso del file della catena del certificato client.

--server-passphrase <passphrase>

Facoltativo.Passphrase di un file chiave privata del server crittografato.

--client-passphrase <passphrase>

Facoltativo.Passphrase di un file chiave privata del client crittografato.

tsm security custom-cert add

Questo comando è specifico per le connessioni tra un server SMTP e Tableau Server.

Aggiunge un certificato CA personalizzato a Tableau Server.Questo certificato viene utilizzato facoltativamente per stabilire l’attendibilità per la comunicazione TLS tra un server SMTP e Tableau Server.

Se esiste già un certificato personalizzato, questo comando avrà esito negativo.Puoi rimuovere il certificato personalizzato esistente con il comando tsm security custom-cert delete.

Nota: il certificato aggiunto con questo comando può essere utilizzato da altri servizi di Tableau Server per le connessioni TLS.

Come parte del piano di ripristino di emergenza, è consigliabile conservare un backup del file di certificato in una posizione sicura all’esterno di Tableau Server.Il file di certificato aggiunto a Tableau Server verrà archiviato e distribuito ad altri nodi dal Servizio file client.Tuttavia, il file non viene memorizzato in un formato recuperabile.Vedi Servizio file client di Tableau Server.

Riepilogo

tsm security custom-cert add --cert-file <file.crt> [global options]

Opzioni

-c, --cert-file <file.crt>

Obbligatorio.Specifica il nome di un file di certificato in un formato PEM o DER valido.

tsm security custom-cert delete

Questo comando è specifico per le connessioni tra un server SMTP e Tableau Server.

Consente di rimuovere il certificato personalizzato esistente del server.In questo modo potrai aggiungere un nuovo certificato personalizzato.

Riepilogo

tsm security custom-cert delete[global options]

tsm security custom-cert list

Questo comando è specifico per le connessioni tra un server SMTP e Tableau Server.

Elenca i dettagli del certificato personalizzato utilizzato per le connessioni tra un server SMTP e Tableau Server.

Riepilogo

tsm security custom-cert list[global options]

tsm security custom-indexandsearch-ssl add

Aggiunge certificati personalizzati per il server di indicizzazione e ricerca per Tableau Server 2023.1 e versioni successive.L’implementazione SSL si basa sull’implementazione TLS di Opensearch.org.Per maggiori informazioni, consulta Configurazione dei certificati TLS(Il collegamento viene aperto in una nuova finestra).

--admin <file.crt>
Obbligatorio.
File di certificato di amministrazione.Specifica il percorso di un certificato con codifica PEM x509 valido con l’estensione .crt.
--admin-key <file.key>
Obbligatorio.
Specifica il percorso di un file di chiave privata RSA o DSA valido (PKCS#8), con estensione .key per convenzione.
-- ca <file.crt>
Obbligatorio.
File CA attendibile.Specifica il percorso di un certificato con codifica PEM x509 valido con l’estensione .crt.
--node <file.crt>
Obbligatorio.
File di certificato di nodo.Specifica il percorso di un certificato con codifica PEM x509 valido con l’estensione .crt.Questo comando distribuirà questo certificato a ogni nodo del cluster.Utilizza un certificato con caratteri jolly per consentire l’intera gamma di Nomi distinti (DN) del nodo in un singolo certificato.
-- node-key <file.key>
Obbligatorio.
Specifica il percorso di un file di chiave privata RSA o DSA valido (PKCS#8), con estensione .key per convenzione.

Riepilogo

tsm security custom-indexandsearch-ssl add --node <file.crt> --admin <file.crt> --node-key <file.key> --admin-key <file.key> --ca <file.crt> [parameters] [global options]

tsm security custom-indexandsearch-ssl list

Elenca i dettagli della configurazione del certificato personalizzato SSL del server di indicizzazione e ricerca.

Riepilogo

tsm security custom-indexandsearch-ssl list[global options]

tsm security custom-tsm-ssl disable

Disabilita il certificato SSL personalizzato per le connessioni al controller TSM.Torna a un certificato autofirmato gestito automaticamente.

Riepilogo

tsm security custom-tsm-ssl disable [global options]

tsm security custom-tsm-ssl enable

Abilita il certificato SSL personalizzato per le connessioni al controller TSM per Tableau Server 2023.1 e versioni successive.Se hai già abilitato SSL e devi aggiornare un certificato scaduto, utilizza questo comando.

-cf,--cert-file <file.crt>
Obbligatorio.
Specifica il percorso di un certificato con codifica PEM x509 valido con l’estensione .crt.Il nome del soggetto sul certificato deve corrispondere al nome host o all’indirizzo IP del computer Tableau su cui è in esecuzione il controller di amministrazione.Per impostazione predefinita, il controller di amministrazione è installato solo nel nodo iniziale della distribuzione di Tableau Server.
-kf,--key-file <file.key>
Obbligatorio.
Specifica il percorso di un file di chiave privata RSA o DSA valido (PKCS#8), con estensione .key per convenzione.Questa chiave non può essere protetta da passphrase.
--chain-file <file.crt>
Facoltativo.

Specifica il percorso di un file della catena del certificato (.crt)

Il file della catena non è altro che una concatenazione di tutti i certificati che formano la catena di certificati per il certificato del server.

Tutti i certificati nel file devono essere di tipo x509 con codifica PEM e il file deve avere un’estensione .crt (non .pem).

--skip-validation
Facoltativo
Passa questa opzione per saltare la verifica radice dell’autorità di certificazione.

Riepilogo

tsm security custom-tsm-ssl enable --key-file <file.key> --cert-file <file.crt> [global options]

tsm security custom-tsm-ssl list

Elenca i dettagli di configurazione del certificato personalizzato TSM.

Riepilogo

tsm security custom-tsm-ssl list[global options]

tsm security external-ssl disable

Rimuove le impostazioni di configurazione SSL esistenti sul server e interrompe la crittografia del traffico tra client esterni e server.

Riepilogo

tsm security external-ssl disable [global options]

tsm security external-ssl enable

Abilita e specifica i file di certificati e chiavi per SSL su comunicazione HTTP esterna.

Riepilogo

tsm security external-ssl enable --cert-file <file.crt> --key-file <file.key> [options] [global options]

Opzioni

--cert-file <file.crt>

Obbligatorio.Specifica il nome di un certificato x509 valido con codifica PEM ed estensione .crt.

--key-file <file.key>

Obbligatorio.Specifica un file di chiave privata RSA o DSA valido, con estensione .key per convenzione.

--chain-file <chainfile.crt>

Specifica il file della catena di certificati (.crt)

Per Tableau Desktop su Mac è necessario un file della catena di certificati.In alcuni casi, per Tableau Mobile può essere richiesto un file di catena di certificati.

Alcuni provider rilasciano due certificati per Apache.Il secondo certificato è un file della catena, ovvero una concatenazione di tutti i certificati che formano la relativa catena per il certificato del server.

Tutti i certificati nel file devono essere di tipo x509 con codifica PEM e il file deve avere un’estensione .crt (non .pem).

--passphrase

Facoltativo.Passphrase per il file del certificato.La passphrase inserita sarà crittografata a riposo.

Nota: se crei un file della chiave del certificato con una passphrase, non potrai riutilizzare la chiave del certificato SSL per SAML.

--protocols <list protocols>

Facoltativo.Elenca le versioni del protocollo TLS (Transport Layer Security) da consentire o non consentire.

TLS è una versione migliorata di SSL.Tableau Server utilizza TLS per l’autenticazione e la crittografia delle connessioni.I valori accettati includono le versioni del protocollo supportate da Apache.Per disabilitare un protocollo, anteporre il carattere meno (-) alla versione del protocollo.

Impostazioni predefinite: "all, -SSLv2, -SSLv3"

Questo valore predefinito non consente ai client di utilizzare protocolli SSL v2 o SSL v3 per connettersi a Tableau Server.È tuttavia consigliabile arrestare anche TLS v1 e TLS 1.1.

Prima di rifiutare una versione specifica di TLS, verifica che i browser da cui gli utenti si collegano a Tableau Server supportino TLS v1.2.Potrebbe essere necessario mantenere il supporto per TLSv1.1 fino all’aggiornamento dei browser.

Se non è necessario mantenere il supporto per TLS v1 o 1.1, utilizza il comando seguente per consentire TLS v1.2 (utilizzando il valore all) e rifiutare esplicitamente SSL, SSL v3, TLS v1 e TLS 1.1.

tsm security external-ssl enable --cert-file file.crt --key-file file.key --protocols "all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1"

tsm security external-ssl list

Visualizza un elenco delle impostazioni relative alla configurazione del gateway esterno SSL.L’elenco include i nomi dei file di certificato in uso, ma non il percorso.

Riepilogo

tsm security external-ssl list [global options]

tsm security internal-cert list

Versione: aggiunto nella versione 2026.3.0.

Elenca i certificati interni configurati.Esegui il comando senza l’opzione --name per visualizzare i nomi dei servizi disponibili.Specifica --name per mostrare la configurazione di un singolo servizio.

Riepilogo

tsm security internal-cert list [--name <service>] [global options]

Opzioni

--name <service>

Facoltativo.Nome di un singolo servizio interno.Se omesso, il comando elenca i nomi dei servizi disponibili.

tsm security internal-cert reset

Versione: aggiunto nella versione 2026.3.0.

Ripristina il certificato autofirmato generato da TSM per un singolo servizio interno.Nella maggior parte dei casi di errore, basta eseguire questo comando per ripristinare un certificato autofirmato valido per il servizio.

Questo comando aggiunge la modifica alla coda delle modifiche in sospeso.Per applicarla, esegui tsm pending-changes apply.

Riepilogo

tsm security internal-cert reset --name <service> [global options]

Opzioni

--name <service>

Obbligatorio.Nome del servizio interno da reimpostare.Per visualizzare i nomi dei servizi disponibili, esegui tsm security internal-cert list.

tsm security internal-cert reset-all

Versione: aggiunto nella versione 2026.3.0.

Ripristina i certificati autofirmati generati da TSM per tutti i servizi interni.Nella maggior parte dei casi di errore, basta eseguire questo comando per ripristinare un certificato autofirmato valido per tutti i servizi.

Analogamente a tsm security internal-cert set-all, questo comando viene eseguito immediatamente e riavvia Tableau Server.Non devi eseguire separatamente tsm pending-changes apply.Utilizza --ignore-prompt per ignorare la conferma del riavvio.

Riepilogo

tsm security internal-cert reset-all [--exclude <targets>] [--ignore-prompt] [global options]

Opzioni

--exclude <targets>

Facoltativo.Elenco di destinazioni da escludere dalla reimpostazione.Le destinazioni valide sono globalCert, repositorySSL, openSearch, controllerSSL, coordinationService o qualsiasi singolo nome di servizio restituito da tsm security internal-cert list.

--ignore-prompt

Facoltativo.Esegue il riavvio (se necessario) senza chiedere conferma.

tsm security internal-cert set

Versione: aggiunto nella versione 2026.3.0.

Imposta un certificato personalizzato per un singolo servizio interno.Per i servizi mTLS, devi anche fornire il certificato e la chiave client utilizzando le opzioni --client-cert-file e --client-key-file.

Questo comando aggiunge la modifica alla coda delle modifiche in sospeso.Per applicarla, esegui tsm pending-changes apply.

Nota: con questo comando viene utilizzata l’opzione --chain per specificare il file della catena di certificati.Per lo stesso scopo con il comando in blocco tsm security internal-cert set-all viene utilizzata l’opzione --chain-file.

Riepilogo

tsm security internal-cert set --name <service> --cert-file <file.crt> --key-file <file.key> [--chain <file.crt>] [--passphrase <passphrase>] [--client-cert-file <file.crt>] [--client-key-file <file.key>] [--client-chain <file.crt>] [--client-passphrase <passphrase>] [global options]

Opzioni

--name <service>

Obbligatorio.Nome del servizio interno da configurare.Per visualizzare i nomi dei servizi disponibili, esegui tsm security internal-cert list.

--cert-file <file.crt>

Obbligatorio.Specifica il percorso di un file di certificato server X.509 valido con codifica PEM.

--key-file <file.key>

Obbligatorio.Specifica il percorso di un file di chiave privata RSA o ECC valido (PKCS#1 o PKCS#8).

--chain <file.crt>

Facoltativo.Specifica il percorso del file della catena di certificati.Consulta tsm security per i requisiti della catena.

--passphrase <passphrase>

Facoltativo.Passphrase di un file chiave privata crittografato.

--client-cert-file <file.crt>

Obbligatorio per i servizi mTLS.Specifica il percorso di un file di certificato client X.509 valido con codifica PEM.

--client-key-file <file.key>

Obbligatorio per i servizi mTLS.Specifica il percorso di un file di chiave privata client RSA o ECC valido (PKCS#1 o PKCS#8).

--client-chain <file.crt>

Facoltativo.Per i servizi mTLS, specifica il percorso del file della catena di certificati client.

--client-passphrase <passphrase>

Facoltativo.Per i servizi mTLS, passphrase di un file chiave privata del client crittografato.

Esempio

Nell’esempio seguente viene impostato un certificato personalizzato per il servizio hyper e quindi viene applicata la modifica in sospeso:

tsm security internal-cert set --name hyper --cert-file server.crt --key-file server.key --chain chain.crt

tsm pending-changes apply

tsm security internal-cert set-all

Versione: aggiunto nella versione 2026.3.0.

Applica un insieme di certificati a tutti i servizi interni contemporaneamente.Questa operazione consente di configurare i 12 tipi di certificati interni insieme ai tre sottosistemi preesistenti (SSL del repository, SSL del controller TSM e OpenSearch), per un totale di 15 certificati interni.

Nota: il comando set-all è un’opzione comoda per applicare lo stesso materiale del certificato tra i vari servizi.L’impostazione di ciascun certificato singolarmente con tsm security internal-cert set costituisce una soluzione più solida dal punto di vista della sicurezza.

A differenza di tsm security internal-cert set, questo comando viene eseguito immediatamente: arresta, riconfigura e riavvia Tableau Server.Non devi eseguire separatamente tsm pending-changes apply.Utilizza --ignore-prompt per ignorare la conferma del riavvio.

L’implementazione avviene all’incirca in tre gruppi: servizi aziendali, controller TSM e servizio di coordinamento.Se si verifica un errore a metà percorso, l’implementazione si interrompe in quel punto.Utilizza tsm security internal-cert reset-all per ripristinare lo stato iniziale oppure risolvi il problema e riapplica.

Nota: con questo comando viene utilizzata l’opzione --chain-file per specificare il file della catena di certificati.Per lo stesso scopo con il comando per singolo servizio tsm security internal-cert set viene utilizzata l’opzione --chain.

Riepilogo

tsm security internal-cert set-all --cert-file <file.crt> --key-file <file.key> --client-cert-file <file.crt> --client-key-file <file.key> [--chain-file <file.crt>] [--passphrase <passphrase>] [--client-passphrase <passphrase>] [--exclude <targets>] [--ignore-prompt] [global options]

Opzioni

--cert-file <file.crt>

Obbligatorio.Specifica il percorso di un file di certificato server X.509 valido con codifica PEM.Questo certificato viene associato ai certificati del nodo e del servizio.

--key-file <file.key>

Obbligatorio.Specifica il percorso di un file chiave privata valido per il server, RSA o ECC (PKCS#1 o PKCS#8).

--client-cert-file <file.crt>

Obbligatorio.Specifica il percorso di un file di certificato client X.509 valido con codifica PEM.Questo certificato viene associato al client ActiveMQ e all’amministratore di OpenSearch.

--client-key-file <file.key>

Obbligatorio.Specifica il percorso di un file di chiave privata client RSA o ECC valido (PKCS#1 o PKCS#8).

--chain-file <file.crt>

Facoltativo.Specifica il percorso del file della catena di certificati.Questa catena viene associata alla CA di OpenSearch.Consulta tsm security per i requisiti della catena.

--passphrase <passphrase>

Facoltativo.Passphrase di un file chiave privata del server crittografato.

--client-passphrase <passphrase>

Facoltativo.Passphrase di un file chiave privata del client crittografato.

--exclude <targets>

Facoltativo.Elenco di destinazioni da escludere dall’operazione.Le destinazioni valide sono globalCert, repositorySSL, openSearch, controllerSSL, coordinationService o qualsiasi singolo nome di servizio restituito da tsm security internal-cert list.

Per utilizzare il certificato condiviso per tutti i servizi ad eccezione di uno, escludi tale servizio in questo punto e quindi sovrascrivilo con il comando tsm security internal-cert set specifico del servizio.L’ultimo comando applicato determina il certificato in uso.

--ignore-prompt

Facoltativo.Esegue il riavvio (se necessario) senza chiedere conferma.Questa opzione elimina solo la richiesta; il comportamento del riavvio rimane invariato.

Esempio

Nell’esempio seguente un insieme di certificati viene applicato a tutti i servizi interni ad eccezione del controller TSM, senza richiedere un riavvio:

tsm security internal-cert set-all --cert-file server.crt --key-file server.key --client-cert-file client.crt --client-key-file client.key --chain-file chain.crt --exclude controllerSSL --ignore-prompt

tsm security kms set-mode aws

Imposta la modalità KMS su AWS.

È necessario disporre dell’intera stringa ARN da AWS KMS.Questa stringa si trova nella sezione "Configurazione generale" delle pagine di gestione di AWS KMS.La stringa ARN presenta questo formato: arn:aws:kms:<regione>:<account>:key/<ID_CMK>, ad esempio arn:aws:kms:us-west-2:867530990073:key/1abc23de-fg45-6hij-7k89-1l0mn1234567.

Per maggiori informazioni, consulta Sistema di gestione delle chiavi AWS.

Riepilogo

tsm security kms set-mode aws --key-arn "<arn>" --aws-region "<region>" [global options]

Opzioni

--key-arn

Obbligatorio.L’opzione --key-arn consente di acquisire una copia diretta della stringa dall’ARN nella sezione "Configurazione generale" delle pagine di gestione di AWS KMS.

--aws-region

Obbligatorio.Specifica una regione come mostrato nella colonna Regione nella tabella Amazon API Gateway(Il collegamento viene aperto in una nuova finestra).

Esempio

Ad esempio, se l’istanza di AWS KMS è in esecuzione nella regione us-west-2, il numero di account è 867530990073 e la chiave CMK è 1abc23de-fg45-6hij-7k89-1l0mn1234567, il comando sarà il seguente:

tsm security kms set-mode aws --aws-region "us-west-2" --key-arn "arn:aws:kms:us-west-2:867530990073:key/1abc23de-fg45-6hij-7k89-1l0mn1234567"

tsm security kms set-mode azure

Imposta la modalità KMS su Azure Key Vault.

Nota: la modalità KMS verrà visualizzata come "Azure Key Vault" quando si esegue tsm security kms status, ma è impostata come "azure".

Saranno necessari il nome di Azure Key Vault e il nome della chiave in Azure.

Per maggiori informazioni, consulta Azure Key Vault.

Riepilogo

tsm security kms set-mode azure --key-name "<key_name>" --vault-name "<vault_name>" [global options]

Opzioni

--key-name

Obbligatorio.Nome della chiave asimmetrica archiviata in Azure Key Vault.

--vault-name

Obbligatorio.Nome di Azure Key Vault.

Esempio

Ad esempio, se Azure Key Vault è denominato tabsrv-keyvault e la chiave è tabsrv-sandbox-key01, il comando sarà:

tsm security kms set-mode azure --key-name "tabsrv-sandbox-key01" --vault-name "tabsrv-keyvault"

tsm security kms set-mode local

Imposta o reimposta la modalità KMS su locale.Locale è la modalità KMS predefinita.Per maggiori informazioni, consulta la sezione Sistema di gestione delle chiavi di Tableau Server.

Riepilogo

tsm security kms set-mode local [global options]

tsm security kms status

Visualizza lo stato della configurazione KMS.Lo stato restituito include:

  • Stato: OK indica che KMS è accessibile da Tableau o dal nodo controller in caso di installazione multi-nodo.
  • Modalità: locale, AWS o Azure Key Vault.Indica la modalità KMS utilizzata.

  • Crittografa e decrittografa la chiave di crittografia master:

    KMS memorizza una raccolta di chiavi master delle estrazioni (MEK).Ogni MEK ha:

    • Un ID, ad esempio 8ddd70df-be67-4dbf-9c35-1f0aa2421521
    • Uno stato "chiave di crittografia o decrittografia" o "chiave di sola decrittografia".Se una chiave è "di crittografia o decrittografia", Tableau Server crittograferà i nuovi dati con questa.In caso contrario, la chiave sarà usata solo per la decrittografia
    • Un timestamp della creazione, ad esempio "Data di creazione: 2019-05-29T23:46:54Z."
    • Prima transizione alla crittografia e alla decrittografia: un timestamp che indica quando la chiave è diventata di crittografia o decrittografia.
    • Transizione a solo di decrittografia: un timestamp che indica quando la chiave è passata alla sola decrittografia.

Altri valori restituiti dipendono dalla modalità KMS.

Quando la modalità KMS è AWS, viene restituito quanto segue:

  • La stringa ARN (ID) della chiave master del cliente (CMK).
  • La regione in cui si trova la CMK.
  • L’ID della chiave master radice (RMK) in uso.La RMK è una chiave che viene crittografata dalla CMK.Tableau Server decrittografa la CMK effettuando chiamate ad AWS KMS.L’RMK viene quindi utilizzata per crittografare/decrittografare la chiave master di estrazione (MEK).L’RMK può cambiare, ma ce ne sarà solo una alla volta.

Quando la modalità KMS è Azure Key Vault, viene restituito quanto segue:

  • Nome insieme di credenziali: nome di Azure Key Vault.
  • Nome chiave di Azure Key Vault: nome della chiave nell’insieme di credenziali.

Riepilogo

tsm security kms status [global options]

tsm security maestro-rserve-ssl disable

Disabilita la connessione Rserve.

Per maggiori informazioni, consulta Usare gli script R (Rserve) nel flusso.

tsm security maestro-rserve-ssl enable

Configura una connessione tra un server Rserve e Tableau Server versione 2019.3 o successiva.

Per maggiori informazioni, consulta Usare gli script R (Rserve) nel flusso.

Riepilogo

tsm security maestro-rserve-ssl enable --connection-type <maestro-rserve-secure | maestro-rserve> --rserve-host <Rserve IP address or host name> --rserve-port <Rserve port> --rserve-username <Rserve username> --rserve-password <Rserve password> --rserve-connect-timeout-ms <RServe connect timeout>

Opzioni

--connection-type

Seleziona maestro-rserve-secure per abilitare una connessione protetta o maestro-rserve per abilitare una connessione non protetta.Se selezioni maestro-rserve-secure, specifica il percorso del file del certificato nella riga di comando.

--rserve-host

Host

--rserve-port

Porta

--rserve-username

Nome utente

--rserve-password

Password

--rserve-connect-timeout-ms

Timeout della connessione in millisecondi.Ad esempio, --rserve-connect-timeout-ms 900000.

tsm security maestro-tabpy-ssl disable

Disabilita la connessione TabPy.

Per maggiori informazioni, consulta Usare gli script Python nel flusso.

tsm security maestro-tabpy-ssl enable

Configura una connessione tra un server TabPy e Tableau Server versione 2019.3 o successiva.

Per maggiori informazioni, consulta Usare gli script Python nel flusso.

Riepilogo

tsm security maestro-tabpy-ssl enable --connection-type <maestro-tabpy-secure | maestro-tabpy> --tabpy-host <TabPy IP address or host name> --tabpy-port <TabPy port> --tabpy-username <TabPy username> --tabpy-password <TabPy password> --tabpy-connect-timeout-ms <TabPy connect timeout>

Opzioni

--connection-type

Seleziona maestro-tabpy-secure per abilitare una connessione protetta o maestro-tabpy per abilitare una connessione non protetta.Se selezioni maestro-tabpy-secure, specifica il file di certificato -cf<percorso del file di certificato> nella riga di comando.

--tabpy-host

Host

--tabpy-port

Porta

--tabpy-username

Nome utente

--tabpy-password

Password

--tabpy-connect-timeout-ms

Timeout della connessione in millisecondi.Ad esempio, --tabpy-connect-timeout-ms 900000.

tsm security regenerate-internal-tokens

Questo comando esegue le operazioni seguenti:

  1. Arresta Tableau Server se è in esecuzione.

  2. Genera nuovi certificati SSL interni per il repository Postgres sul server di ricerca.

  3. Genera nuove password per tutte le password gestite internamente.

  4. Aggiorna tutte le password del repository Postgres.

  5. Genera una nuova chiave di crittografia per la gestione della chiave di risorsa e crittografa i dati della chiave di risorsa con la nuova chiave.

  6. Genera una nuova chiave di crittografia per i segreti di configurazione (chiave master) e codifica la configurazione con essa.

  7. Riconfigura e aggiorna Tableau Server con tutti questi segreti.In una distribuzione ripartita, questo comando distribuisce anche la riconfigurazione e gli aggiornamenti su tutti i nodi del cluster.

  8. Rigenera una nuova chiave master, la aggiunge al file dell’archivio chiavi master e poi crea nuovi token di sicurezza per uso interno.

  9. Avvia Tableau Server.

Se prevedi di aggiungere un nodo al cluster dopo aver eseguito questo comando, sarà necessario generare un nuovo file di configurazione del nodo per aggiornare i token, le chiavi e i segreti generati da questo comando.Vedi Installare e configurare nodi aggiuntivi.

Per maggiori informazioni sulle password interne, consulta Gestire i segreti del server.

Riepilogo

tsm security regenerate-internal-tokens [options] [global options]

Opzioni

--ignore-prompt

Facoltativo.

Esegue un riavvio (se necessario) senza chiedere conferma.Questa opzione elimina solo la richiesta.Il comportamento del riavvio non viene modificato.

--request-timeout <timeout in secondi>

Facoltativo.

Attende il tempo specificato per il completamento del comando.Il valore predefinito è 1.800 (30 minuti).

tsm security repository-ssl disable

Interrompe la crittografia del traffico tra il repository e gli altri componenti del server e interrompe il supporto per le connessioni dirette dai client Tableau.

Questa operazione elimina il certificato e il file chiave in uso.Se utilizzavi un certificato personalizzato (un’opzione a partire dalla versione 2026.2.0)

A partire dalla versione 2026.2.0, se utilizzi un certificato SSL personalizzato e una chiave per la comunicazione con il repository crittografato, questo comando rimuoverà sia il certificato personalizzato che il file chiave.Se desideri riattivare SSL del repository, dovrai fornire nuovamente i file.

Riepilogo

tsm security repository-ssl disable [global-options]

tsm security repository-ssl enable

Questo comando ha abilitato la crittografia SSL per le comunicazioni con il repository PostgreSQL.L’utilizzo e il comportamento del comando dipendono dalla versione di Tableau Server in uso.

Versioni fino alla 2025.3.x inclusa

  • Repository locale

    Quando il repository è locale, utilizzalo per abilitare la crittografia SSL e generare automaticamente i file .crt e .key del server utilizzati per il traffico crittografato tra il repository Postgres e altri componenti del server.

  • Repository esterno

    Quando utilizza un repository esterno, il comando importa i file .crt e .key del server utilizzati per crittografare il traffico tra il repository PostgreSQL esterno e i componenti di Tableau Server.

Abilitando questa opzione hai anche la possibilità di abilitare SSL su connessioni dirette dai client Tableau al server.

Versione 2026.2.0 o successiva

Oltre alla funzionalità di comando descritta in precedenza, a partire dalla versione 2026.2.0 hai anche la possibilità di specificare un certificato personalizzato includendo il percorso di un file di certificato x509 con codifica PEM valido e un file chiave.Se utilizzi un certificato personalizzato, le opzioni SSL del repository non possono essere modificate nell’interfaccia utente Web di TSM.Consulta Opzioni più avanti per informazioni dettagliate su come configurare Tableau per l’utilizzo di un certificato personalizzato per SSL del repository.

Riepilogo

tsm security repository-ssl enable [options] [global options]

Opzioni

-i, --internal-only

Facoltativo.Questa opzione si applica solo quando il repository è locale per Tableau Server.Questa opzione non deve essere utilizzata per Tableau Server configurato con repository esterno.

Se impostato su --internal-only, Tableau Server utilizza SSL tra il repository e altri componenti server e supporta ma non richiede SSL per connessioni dirette tramite utenti tableau o readonly.

Se questa opzione non è impostata, Tableau Server richiede SSL per il traffico tra il repository e altri componenti server, nonché per connessioni dirette da client Tableau (per connessioni tramite gli utenti tableau o readonly ).

Quando specifichi questa opzione, devi anche completare i passaggi descritti in Configurare SSL Postgres per consentire le connessioni dirette da client.

-c, --certificate

Facoltativo.Il comportamento di questa opzione cambia a seconda della versione di Tableau Server in uso:

  • Per le versioni dalla 2021.4.0 alla 2025.3.x questa opzione è applicabile solo a Tableau Server configurato con un repository esterno e può essere utilizzata per abilitare o disabilitare le connessioni SSL dopo l’installazione.Questa opzione consente di abilitare l’utilizzo di connessioni SSL/TSL tra Tableau Server e il repository esterno.Quando utilizzi questa opzione, specifica il percorso completo del file del certificato SSL, incluso il nome del file per il repository esterno.Questo file è lo stesso utilizzato al momento di abilitare il repository esterno.

  • Nelle versioni 2026.2.x e successive, questa opzione si applica sia alle installazioni di repository interno che di repository esterno e può essere utilizzata dopo l’installazione per abilitare o disabilitare le connessioni SSL.Questa opzione può inoltre essere utilizzata per specificare un certificato personalizzato quando includi anche il percorso completo del file di certificato SSL, incluso il nome file, e quando utilizzi l’opzione --key-file per specificare il file chiave privata RSA o DSA associato al certificato.

--key-file

Aggiunto nella versione 2026.2.0

Facoltativo.Specifica un file chiave privata RSA o DSA valido, con estensione .key.Usalo insieme all’opzione --certificate per specificare un certificato SSL personalizzato.

--passphrase

Aggiunto nella versione 2026.2.0

Facoltativo.I file chiave possono essere protetti da passphrase, se si desidera.Assicurati che l’algoritmo crittografico correlato sia supportato dalla versione di Tableau Server in esecuzione.Tableau Server utilizza OpenSSL per aprire file chiave protetti da password.

--chain-file

Aggiunto nella versione 2026.2.0

Facoltativo.Se applicabile, specifica il percorso di un file della catena di certificati valido che includa il certificato del server seguito dai relativi certificati CA intermedi.

tsm security repository-ssl get-certificate-file

Consente di ottenere il file di certificato pubblico utilizzato per la comunicazione SSL con il repository di Tableau.Il file del certificato viene distribuito automaticamente ai client interni del repository nel cluster di Tableau Server.Per consentire ai client remoti di connettersi tramite SSL al repository, devi copiare il file del certificato pubblico su ciascun client.

A partire dalla versione 2026.2.0, questo comando ottiene anche il certificato pubblico quando sono abilitati i certificati di repository personalizzati.

Questo comando funziona solo per Tableau Server che utilizza un repository locale e genererà un errore quando Tableau Server è configurato con un repository esterno.

Riepilogo

tsm security repository-ssl get-certificate-file [global-options]

Opzioni

-f, --file

Obbligatorio.

Percorso e nome file (con estensione .cert) completi in cui salvare il file di certificato.Se esiste un file duplicato, verrà sovrascritto.

tsm security repository-ssl list

Restituisce la configurazione SSL del repository esistente (Postgres).

Riepilogo

tsm security repository-ssl list [global-options]

tsm security rotate-coordination-service-secrets

Versione: aggiunto nella versione 2022.1

Genera nuovi certificati, chiavi e archivi attendibilità utilizzati dal servizio di coordinamento per le connessioni sicure.

Riepilogo

tsm security rotate-coordination-service-secrets [options][global options]

Opzioni

--coord-svc-restart-timeout <secondi>

Facoltativo.

Attendi il numero di secondi specificato per il riavvio del servizio di coordinamento.Impostazione predefinita: 1200 (20 minuti).

--ignore-prompt

Facoltativo.

Esegui un riavvio (se necessario) senza chiedere conferma.

--request-timeout <secondi>

Facoltativo.

Attendi il numero specificato di secondi per il completamento del comando.Impostazione predefinita: 1800 (30 minuti).

Opzioni globali

-h, --help

Facoltativo.

Mostra il comando guida.

-p, --password <password>

Obbligatorio, insieme a -u o --username se non è attiva nessuna sessione.

Specifica la password per l’utente specificato in -u o --username.

Se la password include spazi o caratteri speciali, inseriscila tra virgolette:

--password "my password"

-s, --server https://<hostname>:8850

Facoltativo.

Utilizza l’indirizzo specificato per Tableau Services Manager. L’URL deve iniziare con https, includere la porta 8850 e usare il nome del server, non l’indirizzo IP. Ad esempio, https://<tsm_hostname>:8850. Se non viene specificato nessun server, si presume https://<localhost | dnsname>:8850.

--trust-admin-controller-cert

Facoltativo.

Utilizza questo flag per considerare attendibile il certificato autofirmato nel controller TSM. Per ulteriori informazioni sull’attendibilità del certificato e le connessioni dell’interfaccia della riga di comando, consulta Connettere i client TSM.

-u, --username <utente>

Obbligatorio se non è attiva nessuna sessione, insieme a -p o --password.

Specifica un account utente. Se non includi questa opzione, il comando viene eseguito utilizzando le credenziali con cui hai effettuato l’accesso.

Torna in alto
Grazie per il tuo feedback.Il tuo feedback è stato inviato. Grazie!