Versie: toegevoegd in versie 2026.3.0.

Vanaf versie 2026.3.0 van Tableau Server hebben serverbeheerders de mogelijkheid om de door Tableau Server gebruikte zelfondertekende certificaten te vervangen door aangepaste certificaten.Als u Tableau Server hebt geconfigureerd om aangepaste certificaten te gebruiken en vervolgens problemen ondervindt met de coördinatieservice (bijvoorbeeld vanwege een verlopen certificaat, een sleutel die niet overeenkomt of een door de klant geleverde keten die u niet meer kunt valideren), dient u speciale actie te ondernemen om het probleem op te lossen zonder dat een nieuwe installatie van Tableau Server en het herstel van een bestaande back-up vereist zijn.Zie Interne aangepaste certificaten configureren voor Tableau Server voor meer informatie over het gebruik van aangepaste certificaten voor interne servicecommunicatie.

Gebruik de per-knooppunt tool recover-coordination-service-cert om het mTLS-certificaat en -sleutelmateriaal van de coördinatieservice (ZooKeeper) rechtstreeks op de schijf te vervangen.U moet op elk knooppunt hetzelfde server- en clientcertificaat/sleutelpaar toepassen.

Vereisten

• U moet de tool uitvoeren op een bestaand Tableau Server knooppunt, als root of als de run-as gebruiker van Tableau zonder rechten.

• Zorg dat u één servercertificaat/sleutelpaar en één clientcertificaat/sleutelpaar gereed hebt.Optionele ketenbestanden en wachtwoordzinnen voor gecodeerde sleutels worden ondersteund.

Het aangepaste certificaat herstellen

1. Als u nog geen certificaat hebt, genereert u één keer een nieuw zelfondertekend paar op één knooppunt en kopieert u de identieke bestanden naar elk knooppunt.Het paar moet weerspiegelen wat TSM intern genereert (EC P-256, zelfondertekend, CN=*):

   openssl req -x509 -newkey ec -pkeyopt ec_paramgen_curve:prime256v1 -days 1825 -nodes -subj "/CN=*" -keyout server.key -out server.crt

   openssl req -x509 -newkey ec -pkeyopt ec_paramgen_curve:prime256v1 -days 1825 -nodes -subj "/CN=*" -keyout client.key -out client.crt

   Als u een met een wachtwoordzin versleutelde sleutel wilt maken, laat u -nodes weg.OpenSSL vraagt om een wachtwoordzin, die u vervolgens doorgeeft met de bijbehorende optie --server-passphrase of --client-passphrase.

2. Voer de hersteltool uit op het eerste knooppunt.Begin met een knooppunt dat als host fungeert voor de coördinatieservice, zodat het quorum opnieuw kan worden gevormd:

   recover-coordination-service-cert --server-cert server.crt --server-key server.key --client-cert client.crt --client-key client.key [--server-chain <file.crt>] [--client-chain <file.crt>] [--server-passphrase <passphrase>] [--client-passphrase <passphrase>]

   De tool valideert de invoer vooraf voordat er iets wordt gestopt: de tool bevestigt dat het certificaat kan worden geparseerd als X.509, dat een eventueel opgegeven wachtwoordzin de sleutel ontsleutelt en dat het eerste certificaat in een meegeleverde keten de uitgever van het leafcertificaat is.Vervolgens stopt de tool de lokale services, worden de configuratie en sleutelopslag van elke service gepatcht en het besturingsvlak opnieuw gestart (eerst ZooKeeper, dan de beheeragent en dan de rest).

3. Voer exact dezelfde opdracht uit op elk resterend knooppunt en gebruik daarbij de identieke certificaat- en sleutelbestanden.Herstel eerst de knooppunten die als host fungeren voor de coördinatieservice en daarna de resterende knooppunten.Het cluster is pas hersteld nadat de tool op elk knooppunt is uitgevoerd. Knooppunten die nog de oude sleutelopslag bevatten, worden niet weer toegevoegd aan het cluster.

   Opmerking: in deze fase toont tsm status een foutstatus voor de zakelijke services.Dat is volgens verwachting.De tool patcht de services, maar laat ze gestopt achter.De opdracht set in de volgende stap activeert ze weer.

4. Nadat elk knooppunt is verwerkt, voert u de volgende set-opdracht eenmaal uit vanaf de controller of het eerste knooppunt om de permanente configuratie van de coördinatieservice te synchroniseren met wat er nu op schijf staat:

   tsm security coordination-service-internal-cert set --server-cert server.crt --server-key server.key --client-cert client.crt --client-key client.key [--server-chain <file.crt>] [--client-chain <file.crt>] [--server-passphrase <passphrase>] [--client-passphrase <passphrase>]

   De hersteltool print deze opdracht voor u, vooraf ingevuld met de paden die u hebt doorgegeven.De tool herinnert u eraan om de wachtwoordzinopties opnieuw toe te voegen, maar de waarde van de wachtwoordzin wordt nooit weergegeven.In geval van een identiek certificaat gebruikt de opdracht een snelle oplossing door de configuratie te synchroniseren en het hele cluster, inclusief de gestopte bedrijfsservices weer online te zetten, waardoor de foutstatus verdwijnt.

Problemen oplossen: bij elke uitvoering wordt een gestructureerd logboek naar ${TABLEAU_SERVER_DATA_DIR}/logs/app-recover-coordination-service-cert.log geschreven.

Opmerking: op Windows gebruikt de equivalente wrapper recover-coordination-service-cert.cmd dezelfde opties en werkt deze op dezelfde manier.