カスタム証明書を使用する理由

Tableau Server のすべてのインストールでカスタム証明書が必要なわけではありませんが、規制業界のコンプライアンス要件 (FIPS など) に従う必要がある企業にとって、自己署名証明書の代わりにカスタム証明書を使用できる機能は極めて重要です。また、カスタム証明書は、自己署名した内部証明書にフラグを付けるセキュリティ スキャンを解決するために必要になる場合があります。カスタム証明書を使用する必要があるかどうかは、IT チームやセキュリティ チームから通知されます。

カスタム証明書をサポートするサービス

次の内部サービスでカスタム証明書がサポートされています。tsm security internal-cert set と tsm security internal-cert reset. の --name オプションには、サービス名を指定してください。使用可能なサービス名を表示するには、--name オプションを指定せずに、tsm security internal-cert list を実行します。

• シンプルな TLS (サーバー証明書とキー、オプションのチェーン):

  apiGateway、gatewayInternal、hyper、jmx、thrift、tsigLogs、relationshipService、recommendationsService、vizportalMetadataApi、backgrounderMetadataApi

• サーバー証明書に加えてクライアント証明書とキーが必要な相互 TLS (mTLS):

  activemqMTLS、coordinationService

  注: コーディネーション サービスに別の証明書を使用する場合は、独自のコマンドを使用して、コーディネーション サービスを構成することもできます。詳細については、以下の「(オプション) コーディネーション サービス用に別のカスタム証明書を構成する」を参照してください。

また、tsm security internal-cert set-all により、次の既存のサブシステムが調整されます。

• リポジトリ SSL (PostgreSQL)、TSM コントローラ SSL、OpenSearch (インデックス作成/検索サーバー)。

  set-all を使用すると、サーバー証明書はノード証明書とサービス証明書に、クライアント証明書は ActiveMQ クライアントと OpenSearch 管理者に、チェーンは OpenSearch CA にそれぞれマッピングされます。

証明書の要件

これらのコマンドに指定する証明書とキーは、次の要件を満たす必要があります。

• 証明書は PEM エンコードされた X.509 証明書である必要があります。秘密キーは PKCS#1 または PKCS#8 形式にする必要があります。

• キー アルゴリズム RSA および ECC (EC/ECDSA) がサポートされています。DSA キーは拒否されます。

• 暗号化されたキーがサポートされています。パスフレーズを指定するには、--passphrase および --client-passphrase オプションを使用します。

• チェーン ファイルの提供はオプションですが、ほとんどの導入でチェーン ファイルが必要です。プライベート CA または内部 CA の場合、ルート CA がチェーンに含まれている必要があります。JVM によって既に信頼されている既知のパブリック CA が証明書を発行した場合にのみ、ルート CA を省略できます。すべてのノードのオペレーティング システムと Java トラストストアにもルート CA をインストールする必要があります。

• ホスト名の検証: TSM コントローラ証明書には、コントローラ ノードの完全修飾ドメイン名 (FQDN) が共通名 (CN) として含まれているか、DNS サブジェクトの別名 (SAN) として含まれている必要があります (例: DNS:<value returned by the Linux hostname command>)。これだけで検証条件が満たされます。他の内部証明書では、現時点でホスト名は検証されません。TSM コントローラが別のノードに移動した場合でも証明書を有効にしておくには、コントローラを実行する可能性のあるクラスター内のすべてのノードをカバーする SAN を含めて証明書を発行するか、共有ドメインに対してワイルドカード SAN を使用してください (例: DNS:*.corp.example.com)。

• 拡張キー使用法 (EKU): EKU を serverAuth または clientAuth のみに設定しないでください。EKU を未設定のままにするか、両方の値に設定することはできますが、一方の値のみに個別に設定することはできません。

Tableau Server カスタム証明書機能では、多数の新しい TSM CLI コマンドが導入されます。これらのコマンドにより、管理者は Tableau Server が内部サービス間の通信に使用する証明書を指定できます。新しいコマンドには、tsm security internal-cert 配下の一連のサブコマンドと、コーディネーション サービスに固有の tsm security coordination-service-internal-cert 配下の同様の一連のサブコマンドが含まれます。