拡張機能のセキュリティ - 展開に関するベスト プラクティス


以下の情報は、IT 部門の役員と管理者、Tableau のサーバー管理者とサイト管理者、ダッシュボードと Viz の拡張機能の管理やデータとビジネスのセキュリティに関心のあるすべての人を対象としています。展開の推奨事項は、Tableau Desktop および Tableau Server または Tableau Cloud を使用しているユーザーが混在している企業を対象としています。

 

Tableau での拡張機能のセキュリティ

拡張機能は、社内ネットワーク内、社外ネットワークのサードパーティー サーバー、または Tableau がホストする安全なサンドボックス環境でホストできる Web アプリケーションです。拡張機能はダッシュボード内の他のコンポーネントを操作でき、ワークブック内の表示可能な参照元データにアクセスできる可能性があります (適切に設計された API を介して)。Tableau では、次の 2 種類の拡張機能がサポートされています。

ネットワーク対応拡張機能

ネットワーク対応拡張機能は、ローカル ネットワークの内側か外側に配置された、Web へのフル アクセスを持つ Web サーバーでホストされます。ネットワーク対応拡張機能は、他のアプリケーションやサービスに接続できます。ネットワーク対応拡張機能は、新しいタイプのデータ視覚化、自然言語生成、書き戻しシナリオのサポートなど、Tableau に新しい機能を提供します。ネットワーク対応拡張機能には Web へのフル アクセス権があるため、外部リソースに接続することで豊富な機能とエクスペリエンスを提供できますが、導入や採用に際しては評価が必要です。

サンドボックス拡張機能

サンドボックス化された拡張機能は、Web 上の他のリソースやサービスにアクセスすることなく、保護された環境で実行されます。サンドボックス拡張機能は Tableau によってホストされています。最もセキュリティが高く、データ漏洩のリスクが排除されます。サイバー攻撃から保護するために、サンドボックス拡張機能の環境とホスティング サービスに対してはサードパーティのコンサルタントによる広範な侵入テストを実施済みです。

サンドボックス拡張機能とネットワーク対応拡張機能は、Tableau Desktop、Tableau Server、および Tableau Cloud で使用できます。Tableau Server および Tableau Cloud ではユーザーが実行できる拡張機能を最もよく制御できます。

ネットワーク対応拡張機能を使用する潜在的なセキュリティ リスク

拡張機能は Web アプリケーションなので、ネットワーク対応拡張機能は特定のタイプの悪意ある攻撃に対して脆弱である可能性があり、潜在的にコンピューターやデータをリスクにさらす可能性があります。毎年、Open Web Application Security Project(新しいウィンドウでリンクが開く) (OWASP) は最も危険な Web アプリケーションのセキュリティ リスクを特定しています。このリスクには以下のものが含まれます。

  • SQL インジェクション
  • クロスサイト スクリプト (XSS)
  • 機密データの流出

これらのリスクのため、拡張機能の開発者がユーザー入力を適切に検証および処理しない場合や、動的クエリを生成して機密データベースにアクセスする場合、拡張機能が危険にさらされる可能性があります。Tableau で許可する拡張機能を評価する際には、その拡張機能で認証、データ アクセス、ユーザー入力を管理する方法のほか、セキュリティ リスクの軽減方法を検討するようにしてください。

ネットワーク対応拡張機能によるセキュリティ上の脅威の軽減

拡張機能とは何かを理解することが企業のリスクを特定する最初の手順となります。多くの場合、ダッシュボードと Viz の拡張機能はワークブックの参照元データにアクセスせず、すべての JavaScript コードは、ユーザーのコンピューターで実行中のブラウザーのコンテキストで実行されます。このような場合、拡張機能がドメイン外部のサードパーティ サイトでホストされている場合でも、データがコンピューターから出ることはありません。一部の拡張機能では、Tableau をドメインに既に展開している他のアプリケーションと接続することができます。

Tableau では拡張機能のセキュリティ対策とセキュリティ要件を提供しています。これらの要件は、Tableau Desktop、Tableau Server、および Tableau Cloud で有効です。

  • すべての拡張機能は HTTP セキュア (HTTPS) プロトコルを使用する必要があります。
  • 既定では、ネットワーク対応拡張機能を含むダッシュボードを使用しているすべてのユーザーにメッセージが表示され、拡張機能の実行パーミッションを求められます。拡張機能は、参照元データにアクセスする場合にはパーミッションを要求する必要があります。
  • Tableau Server または Tableau Cloud 上で実行するには、ネットワーク対応拡張機能の URL をセーフ リストに追加する必要があります。このリストは、Tableau Server ではサーバー管理者が管理し、Tableau Cloud ではサイト管理者が管理します。
  • Tableau Server と Tableau Cloud では、サーバー管理者またはサイト管理者が各ネットワーク対応拡張機能でメッセージを表示するかどうかを制御できます。

詳細については、Tableau Server でダッシュボードと Viz の拡張機能を管理するを参照してください。

Tableau を使用した拡張機能の管理

拡張機能を使用すると、ダッシュボードに独自の機能を追加したり、ワークシートに新たなビジュアライゼーションを追加したりすることができます。拡張機能を使用し、ダッシュボードを Tableau 外部のアプリケーションに直接統合することができます。拡張機能によってさまざまな可能性が開かれますが、会社や企業では拡張機能をどのように展開するかの制御を保つことが必要となる場合があります。この点で、拡張機能にはユーザーが使用する他のソフトウェアとの差はありません。会社でソフトウェア アプリケーションを展開する前に、ソフトウェアが想定どおりに動作し、安全であることを徹底的にテストして検証する必要があります。拡張機能にも同じことが当てはまります。

まず、ユーザーが持つべきアクセス権限のレベルを決定し、使用したい拡張機能 (または逆に、使用したくない拡張機能) を特定します。次に、Tableau 内のコントロールと機能を使用して、ユーザーがアクセスできるダッシュボードと Viz の拡張機能を制限し、管理します。

Tableau Desktop での推奨事項

会社に Tableau Desktop を展開するさまざまなオプションがあります。サンドボックス拡張機能とネットワーク対応拡張機能への無制限のアクセスを許可することも、拡張機能にアクセスできるユーザーや環境を制限することもできます。

既定では、Tableau Desktop ユーザーは、サンドボックス拡張機能とネットワーク対応拡張機能に無制限にアクセスできます。この既定の設定は、インストール時に 2 種類のオプションを使用して変更できます。

  • すべての拡張機能をオフにする (DISABLEEXTENSIONS)
  • ネットワーク対応拡張機能をオフにする (DISABLENETWORKEXTENSIONS)

注: Tableau Desktop のインストール後にこれらの設定を変更するには、各 Desktop でレジストリを編集するか (Windows)、スクリプトを実行し (Mac) ます。「ダッシュボードの拡張機能をオフにする」を参照してください。

展開シナリオ

インストール設定を使用すると、Tableau Desktop をさまざまな方法で展開できます。

  • すべての拡張機能を許可する - この展開シナリオでは、Tableau の作成者が使用したいサンドボックス拡張機能とネットワーク対応拡張機能を選択することを信頼します。Tableau Desktop ユーザーに最大限の柔軟性を与えるには、既定のインストール設定を使用します。既定の設定では、Tableau Desktop ユーザーは、サンドボックス拡張機能とネットワーク対応拡張機能に無制限にアクセスできます。既定の設定は DISABLEEXTENSIONS=0 と DISABLENETWORKEXTENSIONS=0 です。「コマンド ラインから Tableau Desktop をインストールします」を参照してください。

  • サンドボックス拡張機能だけを許可する - このシナリオでは、サンドボックス拡張機能は安全であることがわかっているため、許可しますが、ネットワーク対応拡張機能については不明であるため、その使用を禁止します。ネットワーク対応拡張機能のサポートをオフにするには、DISABLENETWORKEXTENSIONS プロパティを設定します (DISABLENETWORKEXTENSIONS=1)。拡張機能を有効にする設定については、既定の設定をそのまま使用します (DISABLEEXTENSIONS=0)。「コマンド ラインから Tableau Desktop をインストールします」を参照してください。

  • 拡張機能を許可しない - このシナリオでは、ユーザーがネットワーク対応拡張機能とサンドボックス拡張機能のいずれも使用できないようにします。この場合、DISABLEEXTENSIONS プロパティを使用してすべての拡張機能のサポートをオフにします (DISABLEEXTENSIONS=1)。「コマンド ラインから Tableau Desktop をインストールします」を参照してください。

設定の組み合わせを使用する - すべての拡張機能に対する無制限のアクセスが必要なユーザー、サンドボックス拡張機能へのアクセスで十分なユーザー、拡張機能へのアクセスが不要なユーザーが混在する場合もあります。拡張機能のオプションはデスクトップごとに設定されるため、特定のユーザーや使用事例に合わせて展開を構成できます。

Web 作成 - ユーザーが Tableau Server または Tableau Cloud を使用できる場合、Web 作成を使用して拡張機能にアクセスできます。Web 作成では、拡張機能についてのサーバー設定やサイト設定が適用されます。このシナリオでは、サーバー管理者およびサイト管理者は、どの拡張機能へのアクセスをユーザーに許可するかを決定できます。管理者は、サーバーとサイトの設定を使用してサンドボックス拡張機能へのアクセスだけに制限することも、サンドボックス拡張機能やセーフ リストに追加したネットワーク対応拡張機能へのアクセスを制限することもできます。

Tableau Server および Tableau Cloud での推奨事項

ユーザーが Tableau Server または Tableau Cloud にアクセス可能な場合、ビルトインのセキュリティ制御を使用し、使用可能な拡張機能やどのような環境かについて制限を設けることができます。Tableau Desktop で拡張機能をオフにした場合でも、Web 作成でユーザーが拡張機能を追加できるようにすることはできますが、使用できる拡張機能の数を管理者が承認したものだけに制限できます。

サンドボックス拡張機能とセーフ リストに追加したネットワーク対応拡張機能を信頼する

Tableau 2019.4 以降では、既定で実行が許可されるのはサンドボックス拡張機能のみです。ネットワーク対応拡張機能はセーフ リストに追加されていない限り許可されません。管理者は、サイトの設定ページにネットワーク対応拡張機能を追加できます ([設定] > [拡張] > [特定の拡張の有効化])。

注: Tableau 2018.2 と Tableau 2018.3 でセーフ リストを拡張機能の既定の動作にするには、サイトの設定を変更する必要があります。[拡張] 設定ページの [拡張の既定の動作] で、[不明の拡張の実行を有効化し...] のオプションをオフにします。Tableau Server 2019.1、Tableau 2019.2、Tableau 2019.3 では、セーフ リストに追加されていない限り、既定では拡張機能の実行は許可されません。

セーフ リストのチェックリスト:

  • 拡張機能はユーザーが知っている信頼できるソースより得られたものですか?
  • 拡張機能の URL を確認してください。URL が疑わしく思えたり、怪しいドメイン名が含まれていますか?
  • 拡張機能では完全なデータ (参照元データ) へのアクセスを要求していますか、またはサマリー データへのアクセスを要求していますか? データ アクセスの理解を参照してください。
  • 広範な使用を許可する前に、拡張機能をテストしてください。「拡張機能でのセキュリティのテスト」を参照してください。ネットワーク対応拡張機能のセキュリティ テストを参照してください。

セーフ リストに拡張機能を追加します。

Tableau Server での特定の拡張機能の実行のブロック

Tableau Server では、ブロック リストに拡張機能の URL を追加すると、特定の拡張機能をブロックできます。これは、複数のサイトで拡張機能において異なる構成を行っている場合に便利です。たとえば、社内の拡張機能やサードパーティの拡張機能をテストできるテスト サイトがある場合、拡張機能の既定の動作を有効にしており、リストに記載されていない拡張機能がワークブックの参照元データにアクセスしなければその拡張機能の実行が許可されるかもしれません。ブロック リストに拡張機能を追加すると、テスト サイトで誤って使用されるのを防げます。

  • 許可しない拡張機能の URL をブロック リストに追加します。このオプションは、Tableau Server でのみ使用できます。特定の拡張機能のブロックを参照してください。

サイトでの拡張機能のオフ

Tableau Server および Tableau Cloud では拡張機能が既定で有効になっています。Tableau Server では、サーバー管理者がサイトの拡張機能をオフにできます。Tableau Cloud では、サイト管理者がサイトの拡張機能をオフにできます。Tableau Server では、サーバー管理者が拡張機能を完全にオフにすることができ、それによってサイト設定が上書きされます。許可するネットワーク対応拡張機能はセーフ リストで制御できるので、サーバーやサイトでこの設定を変更する必要はありません。既定で許可するサンドボックス拡張機能の設定を制御することもできます。

  • サイト (Tableau Server、Tableau Cloud) で拡張機能を無効にするには、サイトでユーザーが拡張機能を実行できるようにするサイト設定を変更します。拡張機能の制御とデータへのアクセスを参照してください。

ネットワーク対応拡張機能を実行するためのユーザー プロンプトの表示または非表示

セーフ リストにネットワーク対応拡張機能を追加すると、ユーザーが拡張機能をダッシュボードに追加している場合、または拡張機能を含むビューを操作している場合に既定でユーザーにプロンプトを表示するかどうかを構成することができます。このプロンプトには、ネットワーク対応拡張機能の詳細および拡張機能がフル データにアクセスできるかどうかが記載されています。このプロンプトによりユーザーには、拡張機能の実行を許可または拒否する権限が与えられます。ユーザーにプロンプトが表示されないようにし、拡張機能がすぐに実行されるようにできます。サイトに対して有効にすると、サンドボックス拡張機能が既定で許可され、ユーザーにプロンプトが表示されなくなります。

サンドボックス拡張機能をオフにする

Tableau 2019.4 以降、Tableau Server と Tableau Cloud ではサンドボックス拡張機能が既定で有効になっています。サンドボックス拡張機能は、保護された環境で実行され、Tableau によってホストされます。管理者は、ユーザーがサイトでサンドボックス拡張機能を実行できるようにするかどうかを制御できます。サンドボックス拡張機能をセーフ リストに追加する必要はありません。サンドボックス拡張機能が許可されている場合、ユーザーはサンドボックス拡張機能をダッシュボードに自由に追加してサンドボックス拡張機能を含むダッシュボードを開き、使用できます。サンドボックス拡張機能をブロックする必要がある場合、サーバー管理者はサンドボックス拡張機能を全体のブロック リストに追加できます。サンドボックス拡張機能を完全にオフにする必要がある場合は、サイトの既定の設定を変更できます。サンドボックス拡張機能の既定の設定を変更すると、セーフ リストにある拡張機能 (サンドボックス拡張機能を含む) だけが実行を許可されます。

 

一番上に戻る
フィードバックをお送りいただき、ありがとうございます。フィードバックは正常に送信されました。ありがとうございます!