Versione: aggiunto nella versione 2026.3.0.

A partire dalla versione 2026.3.0 di Tableau Server, gli amministratori del server hanno la possibilità di sostituire i certificati autofirmati utilizzati da Tableau Server con certificati personalizzati.Se hai configurato Tableau Server per utilizzare certificati personalizzati e successivamente riscontri problemi con il servizio di coordinamento (ad esempio a causa di un certificato scaduto, una chiave non corrispondente o una catena fornita dal cliente che non viene più convalidata), devi intervenire in modo speciale per risolvere il problema senza richiedere una nuova installazione di Tableau Server e il ripristino di un backup esistente.Per maggiori informazioni sull’utilizzo di certificati personalizzati per le comunicazioni interne tra servizi, consulta Configurazione di certificati personalizzati interni per Tableau Server.

Utilizza lo strumento recover-coordination-service-cert per singoli nodi per sostituire il certificato mTLS e il materiale della chiave del servizio di coordinamento (ZooKeeper) direttamente su disco.Devi applicare la stessa coppia certificato/chiave server e certificato/chiave client su ogni nodo.

Prerequisiti

• Devi eseguire lo strumento su un nodo Tableau Server esistente, come root o come utente Esegui come di Tableau senza privilegi.

• Devi disporre di una coppia certificato/chiave server e una coppia certificato/chiave server.Sono supportati file della catena facoltativi e passphrase per chiavi crittografate.

Ripristinare il certificato personalizzato

1. Se non disponi già di un certificato, genera una nuova coppia autofirmata una sola volta su un singolo nodo e copia gli stessi file su ogni nodo.La coppia deve rispecchiare quanto generato internamente da TSM (EC P-256, autofirmato, CN=*):

   openssl req -x509 -newkey ec -pkeyopt ec_paramgen_curve:prime256v1 -days 1825 -nodes -subj "/CN=*" -keyout server.key -out server.crt

   openssl req -x509 -newkey ec -pkeyopt ec_paramgen_curve:prime256v1 -days 1825 -nodes -subj "/CN=*" -keyout client.key -out client.crt

   Per generare una chiave crittografata con passphrase, ometti -nodes.OpenSSL richiede una passphrase, che dovrai poi passare con l’opzione --server-passphrase o --client-passphrase corrispondente.

2. Esegui lo strumento di ripristino sul primo nodo.Inizia con un nodo che ospita il servizio di coordinamento in modo che il quorum possa riformarsi:

   recover-coordination-service-cert --server-cert server.crt --server-key server.key --client-cert client.crt --client-key client.key [--server-chain <file.crt>] [--client-chain <file.crt>] [--server-passphrase <passphrase>] [--client-passphrase <passphrase>]

   Lo strumento preconvalida gli input prima di arrestare qualsiasi servizio: verifica che il certificato venga analizzato in formato X.509, che l’eventuale passphrase fornita riesca a decrittografare la chiave e che il primo certificato nell’eventuale catena fornita sia l’emittente del certificato finale.Arresta quindi i servizi locali, applica le patch alla configurazione e all’archivio chiavi di ogni servizio e riavvia il control plane (prima ZooKeeper, poi l’agente di amministrazione e infine i servizi rimanenti).

3. Esegui esattamente lo stesso comando su ogni nodo rimanente, utilizzando lo stesso certificato e gli stessi file chiave.Ripristina prima i nodi che ospitano il servizio di coordinamento, quindi gli eventuali nodi rimanenti.Il cluster viene ripristinato solo dopo che lo strumento è stato eseguito su ogni nodo: qualsiasi nodo che contenga ancora il vecchio archivio chiavi non si riconnette.

   Nota: in questa fase, con tsm status i servizi aziendali vengono visualizzati in stato di errore.Questo comportamento è previsto.Lo strumento applica le patch ai servizi, ma li lascia arrestati.Il comando set nella fase successiva li riavvia.

4. Una volta completato ogni nodo, esegui una volta il seguente comando set dal controller o dal primo nodo per sincronizzare la configurazione permanente del servizio di coordinamento con quanto attualmente presente su disco:

   tsm security coordination-service-internal-cert set --server-cert server.crt --server-key server.key --client-cert client.crt --client-key client.key [--server-chain <file.crt>] [--client-chain <file.crt>] [--server-passphrase <passphrase>] [--client-passphrase <passphrase>]

   Lo strumento di ripristino stampa questo comando, precompilato con i percorsi che hai passato.Ti ricorda di aggiungere nuovamente le opzioni della passphrase, ma non mostra mai il valore della passphrase.Se il certificato fornito dagli utenti è uguale a quello già presente nello strumento di ripristino, il comando sincronizza la configurazione e ripristina il funzionamento dell’intero cluster, inclusi i servizi aziendali interrotti, cancellando lo stato di errore.

Risoluzione dei problemi: a ogni esecuzione viene scritto un log strutturato in ${TABLEAU_SERVER_DATA_DIR}/logs/app-recover-coordination-service-cert.log.

Nota: in Windows, un wrapper equivalente, recover-coordination-service-cert.cmd, accetta le stesse opzioni e si comporta allo stesso modo.