Perché utilizzare certificati personalizzati?

Non tutte le installazioni di Tableau Server richiedono certificati personalizzati, ma per le aziende che devono rispettare i requisiti di conformità dei settori regolamentati (ad esempio FIPS), la possibilità di utilizzare certificati personalizzati al posto di quelli autofirmati diventa di fondamentale importanza.Questi potrebbero anche essere necessari per risolvere i problemi rilevati dalle scansioni di sicurezza che segnalano i certificati interni autofirmati.Spetta ai team IT e della sicurezza comunicarti se devi utilizzare certificati personalizzati.

Servizi che supportano i certificati personalizzati

I seguenti servizi interni supportano i certificati personalizzati.Utilizza il nome del servizio con l’opzione --name di tsm security internal-cert set e tsm security internal-cert reset.Per visualizzare i nomi dei servizi disponibili, esegui tsm security internal-cert list senza l’opzione --name.

• TLS semplice (certificato server e chiave, con una catena facoltativa):

  apiGateway, gatewayInternal, hyper, jmx, thrift, tsigLogs, relationshipService, recommendationsService, vizportalMetadataApi e backgrounderMetadataApi

• TLS reciproca (mTLS), che richiede un certificato client e una chiave oltre al certificato server:

  activemqMTLS, coordinationService

  Nota: il servizio di coordinamento può anche essere configurato con il proprio comando se scegli di utilizzare un certificato separato a tale scopo.Per maggiori informazioni, consulta (Facoltativo) Configurazione di un certificato personalizzato separato per il servizio di coordinamento più avanti.

Inoltre, tsm security internal-cert set-all orchestra i seguenti sottosistemi preesistenti:

• SSL del repository (PostgreSQL), SSL del controller TSM e OpenSearch (server di indicizzazione e ricerca).

  Quando utilizzi set-all, il certificato server viene mappato ai certificati del nodo e del servizio, il certificato client viene mappato al client ActiveMQ e all’amministratore di OpenSearch e la catena viene mappata alla CA di OpenSearch.

Requisiti dei certificati

I certificati e le chiavi che fornisci a questi comandi devono soddisfare i seguenti requisiti:

• I certificati devono essere in formato X.509 con codifica PEM.Le chiavi private devono essere in formato PKCS#1 o PKCS#8.

• Gli algoritmi di chiave RSA ed ECC (EC/ECDSA) sono supportati.Le chiavi DSA vengono rifiutate.

• Le chiavi crittografate sono supportate.Per specificare la passphrase, utilizza le opzioni --passphrase e --client-passphrase.

• Non è obbligatorio fornire un file della catena, ma la maggior parte delle distribuzioni ne richiede uno.Per una CA privata o interna, la CA radice deve essere inclusa nella catena.La CA radice può essere omessa solo se il certificato è stato emesso da una CA pubblica nota già considerata attendibile dalla JVM.La CA radice deve inoltre essere installata nel sistema operativo e nel truststore Java su tutti i nodi.

• Verifica del nome host: il certificato del controller TSM deve includere il nome di dominio completo (FQDN) del nodo controller come nome comune (CN) o come Subject Alternative Name (SAN) DNS, ad esempio DNS:<value returned by the Linux hostname command>.Questo requisito da solo è sufficiente per la convalida.Altri certificati interni non convalidano i nomi host al momento.Per garantire la validità del certificato nel caso in cui il controller TSM venga spostato su un nodo diverso, rilascia il certificato con SAN che coprono ogni nodo del cluster che potrebbero eseguire il controller oppure utilizza una SAN con carattere jolly per il dominio condiviso, ad esempio DNS:*.corp.example.com.

• Extended Key Usage (EKU): non impostare EKU solo su serverAuth o clientAuth.Puoi lasciare EKU non impostato o impostarlo su entrambi i valori, ma non su uno singolarmente.

Con la funzionalità dei certificati personalizzati di Tableau Server viene introdotta una serie di nuovi comandi dell’interfaccia della riga di comando di TSM.Questi comandi consentono agli amministratori di designare i certificati che Tableau Server deve utilizzare per la comunicazione tra i servizi interni.I nuovi comandi includono una serie di sottocomandi in tsm security internal-cert e una serie analoga di sottocomandi in tsm security coordination-service-internal-cert specifici per il servizio di coordinamento.