Interne aangepaste certificaten configureren voor Tableau Server


Versie: toegevoegd in versie 2026.3.0.

Standaard gebruikt Tableau Server zelfondertekende certificaten om de communicatie tussen interne services en componenten te versleutelen.Vanaf versie 2026.3.0 hebben serverbeheerders de optie om deze door TSM gegenereerde certificaten te vervangen door aangepaste certificaten die zijn uitgegeven door hun eigen bedrijfs-PKI of certificaatautoriteit (CA).In dit onderwerp leest u hoe u Tableau Server configureert om in plaats van de standaard, zelfondertekende certificaten aangepaste certificaten te gebruiken voor de interne service-naar-service communicatie.(Sommige certificaten zijn servicespecifiek en andere zijn bedoeld voor componenten die meerdere services gebruiken.Gemakshalve verwijzen we hier met de term 'services' naar beide gevallen.)

Opmerking: de hier besproken aangepaste certificaten en tsm-opdrachten voor het configureren van Tableau Server betreffen specifiek de interne communicatie tussen Tableau Server-services.Deze certificaten verschillen van externe (gateway) SSL, die gericht is op browsers en andere externe clients.Zie SSL configureren voor extern HTTP-verkeer naar en vanaf Tableau Server voor informatie over het configureren van externe SSL.We raden u aan om een afzonderlijk certificaat te gebruiken voor externe gateway SSL.

Waarom zou u aangepaste certificaten gebruiken?

Niet elke installatie van Tableau Server heeft aangepaste certificaten nodig, maar voor bedrijven die moeten voldoen aan de nalevingsvereisten in gereguleerde sectoren (zoals FIPS in de VS), is de mogelijkheid om aangepaste certificaten in plaats zelfondertekende certificaten te gebruiken cruciaal.Ze kunnen ook nodig zijn om door beveiligingsscans aangegeven problemen op te lossen als deze zelfondertekende interne certificaten markeren.Uw IT- en beveiligingsteams kunnen u vertellen of u aangepaste certificaten moet gebruiken.

Services die aangepaste certificaten ondersteunen

De volgende interne services ondersteunen aangepaste certificaten.Gebruik de servicenaam met de --name-optie tsm security internal-cert set en tsm security internal-cert reset.Voer tsm security internal-cert list uit zonder de optie --name om de namen van beschikbare services te zien.

  • Eenvoudige TLS (servercertificaat en -sleutel, met een optionele keten):

    apiGateway, gatewayInternal, hyper, jmx, thrift, tsigLogs, relationshipService, recommendationsService, vizportalMetadataApi en backgrounderMetadataApi

  • Wederzijdse TLS (mTLS), waarvoor naast het servercertificaat ook een clientcertificaat en -sleutel nodig zijn:

    activemqMTLS, coordinationService

    Opmerking: de coördinatieservice kan ook worden geconfigureerd met een eigen opdracht als u ervoor kiest om daarvoor een apart certificaat te gebruiken.Zie (Optioneel) Een afzonderlijk aangepast certificaat voor de coördinatieservice configureren hieronder voor meer informatie.

Daarnaast orkestreert tsm security internal-cert set-all de volgende reeds bestaande subsystemen:

  • Opslagplaats-SSL (PostgreSQL), TSM-controller SSL en OpenSearch (indexerings- en zoekserver).

    Wanneer u set-all gebruikt, wordt het servercertificaat toegewezen aan de knooppunt- en servicecertificaten, wordt het clientcertificaat toegewezen aan de ActiveMQ-client en de OpenSearch-beheerder en wordt de keten toegewezen aan de OpenSearch CA (certificaatautoriteit).

Certificaatvereisten

De certificaten en sleutels die u aan deze opdrachten verstrekt, moeten voldoen aan de volgende vereisten:

  • Certificaten moeten met PEM versleutelde X.509-certificaten zijn.Privésleutels moeten de PKCS#1- of PKCS#8-indeling hebben.

  • De sleutelalgoritmen RSA en ECC (EC/ECDSA) worden ondersteund.DSA-sleutels worden afgewezen.

  • Versleutelde sleutels worden ondersteund.Gebruik de opties --passphrase en --client-passphrase om de wachtwoordzin op te geven.

  • Het aanleveren van een ketenbestand is optioneel, maar voor de meeste implementaties is dit vereist.Voor een privé- of interne CA moet de root-CA in de keten worden opgenomen.De root-CA kan alleen worden weggelaten als het certificaat is uitgegeven door een bekende openbare CA die al door de JVM wordt vertrouwd.De root-CA moet ook in het besturingssysteem en in de Java-vertrouwensopslag op alle knooppunten worden geïnstalleerd.

  • Hostnaamverificatie: het TSM-controllercertificaat moet de FQDN (Fully Qualified Domain Name) van het controllerknooppunt bevatten als de algemene naam (CN) of als een DNS SAN (Subject Alternative Name), bijvoorbeeld DNS:<value returned by the Linux hostname command>.Alleen dat volstaat voor validatie.Andere interne certificaten valideren momenteel geen hostnamen.Als u wilt dat het certificaat geldig blijft als de TSM-controller ooit naar een ander knooppunt verhuist, geeft u het certificaat uit met SAN's die elk knooppunt in het cluster dekken waarop de controller kan worden uitgevoerd. U kunt ook een SAN met jokerteken gebruiken voor het gedeelde domein (bijvoorbeeld DNS:*.corp.example.com).

  • EKU (Extended Key Usage): stel de EKU niet uitsluitend in op serverAuth of clientAuth.Het is mogelijk om de EKU niet in te stellen of om de EKU op beide waarden in te stellen, maar u kunt de EKU niet op één waarde afzonderlijk instellen.

Tableau Server configureren met aangepaste certificaten voor interne communicatie

De Tableau Server-functie voor aangepaste certificaten introduceert een aantal nieuwe TSM CLI-opdrachten.Hiermee kunnen beheerders certificaten aanwijzen die Tableau Server moet gebruiken voor communicatie tussen interne services.De nieuwe opdrachten omvatten een reeks subopdrachten onder tsm security internal-cert en een vergelijkbare reeks subopdrachten onder tsm security coordination-service-internal-cert die specifiek zijn voor de coördinatieservice.

Aangepaste certificaten configureren voor afzonderlijke services

Een serverbeheerder kan een aangepast certificaat instellen voor afzonderlijke services.

Aangepaste certificaten configureren voor een afzonderlijke service:

Aangepaste certificaten bulksgewijs configureren

Een serverbeheerder kan aangepaste certificaten ook bulksgewijs instellen voor alle toepasselijke services.

Aangepaste certificaten bulksgewijs configureren (alle toepasselijke services):

Opmerking: als u specifieke services wilt uitsluiten bij het gebruik van de opdrachten set-all of reset-all, gebruikt u de optie --exclude <service>.

(Optioneel) Een afzonderlijk aangepast certificaat voor de coördinatieservice configureren

Het certificaat van de coördinatieservice (ZooKeeper) kan afzonderlijk worden geconfigureerd met behulp van de opdrachten tsm security coordination-service-internal-cert. Voor dit certificaat gelden specifieke vereisten en beperkingen.Mogelijk wilt u de coördinatieservice uit veiligheidsoverwegingen afzonderlijk configureren of wilt u de impact beperken als er iets misgaat en u een certificaat opnieuw moet instellen.

Als er problemen zijn met het certificaat van de coördinatieservice, dient u specifieke stappen te ondernemen om een volledige herinstallatie met een back-up van Tableau Server te voorkomen.Zie Een aangepast certificaat voor de coördinatieservice herstellen voor meer informatie.

Verwante onderwerpen

Terug naar boven
Bedankt voor uw feedback.De feedback is verzonden. Dank u wel.