Help voor Tableau Server op Windows

De volgende informatie is bedoeld voor IT-medewerkers en -beheerders, Tableau-server- en sitebeheerders en iedereen die geïnteresseerd is in het beheren van dashboard- en visualisatie-uitbreidingen en de beveiliging van hun data en hun bedrijf. De suggesties voor implementatie zijn bedoeld voor bedrijven met een mix van gebruikers die Tableau Desktop en Tableau Server of Tableau Cloud gebruiken.

Beveiliging voor uitbreidingen in Tableau

Uitbreidingen zijn webapplicaties die binnen uw netwerk kunnen worden gehost, buiten op een server van derden, of in een beveiligde sandbox-omgeving die wordt gehost door Tableau. Uitbreidingen kunnen communiceren met andere componenten in het dashboard en hebben mogelijk toegang tot de zichtbare en onderliggende data in de werkmap (via een goed gedefinieerde API). Tableau ondersteunt twee typen uitbreidingen:

Uitbreidingen met netwerkfunctionaliteit

Uitbreidingen met netwerkfunctionaliteit worden gehost op webservers binnen of buiten uw lokale netwerk en hebben volledige toegang tot het web. Netwerkuitbreidingen kunnen verbinding maken met andere toepassingen en services. Dergelijke uitbreidingen bieden nieuwe mogelijkheden voor Tableau, zoals nieuwe typen datavisualisaties, het genereren van natuurlijke taal en ondersteuning voor Write-Back-scenario's. Uitbreidingen met netwerkfunctionaliteit hebben volledige toegang tot internet. Dit betekent dat ze weliswaar uitgebreide functies en ervaringen kunnen bieden doordat ze verbinding kunnen maken met externe bronnen, maar het betekent ook dat ze moeten worden geëvalueerd voordat ze kunnen worden geïmplementeerd of in gebruik genomen.

Sandbox-uitbreidingen

Sandbox-uitbreidingen draaien in een beschermde omgeving zonder toegang tot andere bronnen of diensten op internet. Sandbox-uitbreidingen worden gehost door Tableau. Ze bieden de hoogste beveiliging en elimineren het risico op data-exfiltratie. Ter bescherming tegen cyberaanvallen is de sandbox-uitbreidingsomgeving en de hostingservice uitgebreid onderworpen aan penetratietests door een externe consultant.

U kunt sandbox- en netwerkuitbreidingen gebruiken in Tableau Desktop, Tableau Server en Tableau Cloud. Met Tableau Server en Tableau Cloud hebt u de meeste controle over de uitbreidingen die uw gebruikers kunnen uitvoeren.

Mogelijke beveiligingsrisico's voor uitbreidingen met netwerkfunctionaliteit

Omdat uitbreidingen webapplicaties zijn, bestaat de mogelijkheid dat een uitbreidingen met netwerkfunctionaliteit kwetsbaar is voor bepaalde typen kwaadaardige aanvallen, die op hun beurt een risico kunnen vormen voor uw computer of data. Het Open Web Application Security Project(Link wordt in een nieuw venster geopend) (OWASP) identificeert jaarlijks de meest kritieke beveiligingsrisico's voor webapplicaties. Tot deze risico's behoren onder meer:

• SQL-injectie
• Cross-site scripting (XSS)
• Openbaar maken van gevoelige data

Deze risico's kunnen de uitbreiding in gevaar brengen als de ontwikkelaars van de uitbreiding de invoer van gebruikers niet goed valideren en verwerken, of als ze dynamische query's genereren om toegang te krijgen tot gevoelige databases. Wanneer u de uitbreidingen evalueert die u in Tableau wilt toestaan, moet u goed nadenken over hoe de verificatie, datatoegang of gebruikersinvoer worden beheerd en hoe beveiligingsrisico's worden beperkt.

Beveiligingsrisico's beperken voor uitbreidingen met netwerkfunctionaliteit

Inzicht in wat een uitbreiding doet, is de eerste stap naar het identificeren van de risico's voor uw onderneming. Vaak heeft een dashboard- of visualisatie-uitbreiding geen toegang tot de onderliggende data in de werkmap en wordt alle JavaScript-code uitgevoerd in de context van de browser die op de computer van de gebruiker wordt uitgevoerd. In alle gevallen blijven de data op de computer, ook al wordt de uitbreiding gehost op een externe site buiten uw domein. Met sommige uitbreidingen kunt u Tableau verbinden met andere toepassingen die u al in uw domein hebt geïmplementeerd.

Tableau biedt zowel beveiligingsmaatregelen als -vereisten voor uitbreidingen. Deze vereisten zijn ingeschakeld voor Tableau Desktop, Tableau Server en Tableau Cloud.

• Alle uitbreidingen moeten het HTTP Secure (HTTPS)-protocol gebruiken.
• Iedereen die een dashboard gebruikt met daarop uitbreidingen met netwerkfunctionaliteit, wordt standaard gevraagd of de uitbreiding mag worden uitgevoerd. De uitbreiding moet toestemming vragen als deze toegang krijgt tot onderliggende data.
• Om op Tableau Server of Tableau Cloud te kunnen draaien, moet de URL van de netwerkuitbreiding worden toegevoegd aan een acceptatielijst. De serverbeheerder beheert deze lijst voor Tableau Server, en de sitebeheerder doet dit voor Tableau Cloud.
• Op Tableau Server en Tableau Cloud kan de server- of sitebeheerder (respectievelijk) bepalen of de prompt voor elke netwerkuitbreiding wordt weergegeven.

Zie Dashboard- en visualisatie-uitbreidingen in Tableau Server beheren voor meer informatie.

Uitbreidingen beheren met Tableau

Met uitbreidingen kunt u unieke functies toevoegen aan dashboards en nieuwe visualisaties aan werkbladen. U kunt ze ook gebruiken om het dashboard rechtstreeks te integreren met toepassingen buiten Tableau. Hoewel uitbreidingen een wereld aan mogelijkheden bieden, zijn er gevallen waarin u de controle wilt behouden over de manier waarop uitbreidingen in uw bedrijf of onderneming worden geïmplementeerd. In dit opzicht verschillen uitbreidingen niet van andere software die u wilt gebruiken. Voordat u softwaretoepassingen in uw bedrijf implementeert, moet u de software grondig testen en verifiëren of deze naar behoren werkt en veilig is. Hetzelfde geldt voor uitbreidingen.

Bepaal eerst welk toegangsniveau uw gebruikers moeten hebben en identificeer de uitbreidingen die u wilt gebruiken (of die u juist niet wilt gebruiken). Gebruik vervolgens de besturingselementen en functies in Tableau om de dashboard- en visualisatie-uitbreidingen waartoe gebruikers toegang hebben, te beperken en beheren.

• Moet u beperking instellen voor wie uitbreidingen kan toevoegen of gebruiken in Tableau Desktop? Zie Aanbevelingen voor Tableau Desktop
• Wilt u de uitbreidingen waartoe uw gebruikers toegang hebben, beperken of beheren? Zie Aanbevelingen voor Tableau Server en Tableau Cloud.

Aanbevelingen voor Tableau Desktop

U kunt Tableau Desktop op meerdere manieren implementeren in uw bedrijf. U kunt onbeperkte toegang toestaan tot sandbox- en netwerkuitbreidingen, of u kunt limieten en beperkingen instellen voor wie toegang heeft tot uitbreidingen, en onder welke omstandigheden dat mogelijk is.

Standaard hebben Tableau Desktop-gebruikers onbeperkte toegang tot Sandbox- en netwerkuitbreidingen. Tijdens de installatie kunt u twee opties gebruiken om de standaardinstellingen te wijzigen.

• Alle uitbreidingen uitschakelen (DISABLEEXTENSIONS)
• Uitbreidingen met netwerkfunctionaliteit uitschakelen (DISABLENETWORKEXTENSIONS).

Opmerking: U kunt deze instellingen wijzigen nadat u Tableau Desktop hebt geïnstalleerd door het register (Windows) te bewerken of door een script (Mac) op elk bureaublad uit te voeren. Zie Dashboarduitbreidingen uitschakelen.

Implementatiescenario's

Met behulp van de installatie-instellingen kunt u Tableau Desktop op verschillende manieren implementeren.

• Alle uitbreidingen toestaan - In dit scenario vertrouwt u erop dat Tableau-auteurs de sandbox- en netwerkuitbreidingen selecteren die ze willen gebruiken. Als u Tableau Desktop-gebruikers de grootste flexibiliteit wilt bieden, gebruikt u de standaardinstellingen. Daarmee hebben Tableau Desktop-gebruikers onbeperkte toegang tot sandbox- en netwerkuitbreidingen. De standaardinstellingen zijn: DISABLEEXTENSIONS=0 en DISABLENETWORKEXTENSIONS=0. Zie Tableau Desktop installeren vanaf de opdrachtregel.

• Alleen sandbox-uitbreidingen toestaan - In dit scenario weet u dat de sandbox-uitbreidingen veilig zijn en wilt u deze toestaan. U weet echter niet zeker of de netwerkuitbreidingen veilig zijn en wilt het gebruik daarvan voorkomen. Om de ondersteuning voor netwerkuitbreidingen uit te schakelen, moet u de eigenschap DISABLENETWORKEXTENSIONS instellen (DISABLENETWORKEXTENSIONS=1). Behoud de standaardinstelling voor het inschakelen van uitbreidingen (DISABLEEXTENSIONS=0). Zie Tableau Desktop installeren vanaf de opdrachtregel.

• Geen uitbreidingen toegestaan - In dit scenario wilt u dat gebruikers geen van beide typen uitbreiding kunnen gebruiken (netwerk en sandbox). Schakel in dit geval de ondersteuning voor alle uitbreidingen via de eigenschap DISABLEEXTENSIONS (DISABLEEXTENSIONS=1). Zie Tableau Desktop installeren vanaf de opdrachtregel.

Een combinatie van instellingen gebruiken - Er zijn mogelijk gebruikers die onbeperkte toegang tot alle uitbreidingen nodig hebben en zouden moeten hebben, en anderen voor wie toegang tot sandbox-uitbreidingen voldoende is. Tot slot is er een groep gebruikers die helemaal geen toegang tot uitbreidingen nodig heeft. Omdat de uitbreidingsopties per desktop worden ingesteld, kunt u de implementatie configureren voor specifieke gebruikers en hun gebruiksscenario's.

Webauthoring - Als Tableau Server of Tableau Cloud beschikbaar is voor uw gebruikers, kunnen zij webauthoring gebruiken om toegang te krijgen tot uitbreidingen. Bij het schrijven van websites zijn de server- of site-instellingen voor uitbreidingen van toepassing. In dit scenario kunnen de server- en sitebeheerders bepalen tot welke uitbreidingen gebruikers toegang hebben. Beheerders kunnen de server- en site-instellingen gebruiken om de toegang te beperken tot alleen sandbox-uitbreidingen, of om de toegang te beperken tot sandbox-uitbreidingen en de netwerkuitbreidingen die zijn toegevoegd aan een acceptatielijst.

Aanbevelingen voor Tableau Server en Tableau Cloud

Als uw gebruikers toegang hebben tot Tableau Server of Tableau Cloud, kunt u de ingebouwde beveiligingsmaatregelen gebruiken om limieten en beperkingen in te stellen aan de uitbreidingen die kunnen worden gebruikt, en onder welke omstandigheden dat gebeurt. Als u uitbreidingen op Tableau Desktop hebt uitgeschakeld, kunt u gebruikers nog steeds toestaan om uitbreidingen toe te voegen in webauthoring. U kunt echter wel het aantal uitbreidingen dat kan worden gebruikt, beperken tot alleen de uitbreidingen die u goedkeurt.

Sandbox-uitbreidingen en de netwerkuitbreidingen op de acceptatielijst vertrouwen

Vanaf Tableau 2019.4 mogen standaard alleen sandbox-uitbreidingen worden uitgevoerd. Uitbreidingen met netwerkfunctionaliteit zijn alleen toegestaan als ze expliciet aan de acceptatielijst zijn toegevoegd. Beheerders kunnen netwerkuitbreidingen toevoegen aan de instellingenpagina voor de site (Instellingen > Uitbreidingen > Specifieke uitbreidingen inschakelen).

Opmerking: Om de acceptatielijst toe te passen als het standaardgedrag voor uitbreidingen in Tableau 2018.2 en Tableau 2018.3, moet u de instellingen voor de site wijzigen. Ga hiervoor naar de pagina Uitbreidingsinstellingen, onder Standaardgedrag voor uitbreidingen en schakel de optie Onbekende uitbreidingen inschakelen... uit. In Tableau Server 2019.1, Tableau 2019.2 en Tableau 2019.3 mogen standaard geen uitbreidingen worden uitgevoerd, tenzij ze aan de acceptatielijst zijn toegevoegd.

Checklist voor de acceptatielijst:

• Komt de uitbreiding van een bron die u kent en vertrouwt?
• Controleer de URL van de uitbreiding. Ziet de URL er verdacht uit of bevat deze dubieuze domeinnamen?
• Heeft de uitbreiding toegang nodig tot volledige (onderliggende data) of samenvattingsdata? Zie Toegang tot data begrijpen.
• Test de uitbreidingen voordat u ze algemeen gebruikt. Zie De beveiliging van uitbreidingen testen. Zie De beveiliging van uitbreidingen met netwerkfunctionaliteit testen.

Uitbreidingen toevoegen aan de acceptatielijst:

• Zie Uitbreidingen aan de acceptatielijst toevoegen en gebruikersprompts gebruiken.

Specifieke uitbreidingen blokkeren voor uitvoering op Tableau Server

Op Tableau Server kunt u specifieke uitbreidingen blokkeren door hun URL toe te voegen aan de blokkeringslijst. Dit is handig als u meerdere sites hebt die verschillend zijn geconfigureerd voor uitbreidingen. Als u bijvoorbeeld een testsite hebt waarop u interne uitbreidingen of uitbreidingen van derden wilt testen, hebt u mogelijk het standaardgedrag voor uitbreidingen ingeschakeld. Hierbij mogen niet-vermelde uitbreidingen worden uitgevoerd, op voorwaarde dat ze geen toegang hebben tot de onderliggende data in de werkmap. Door een uitbreiding aan de blokkeringslijst toe te voegen, voorkomt u dat deze onbedoeld op de testsite wordt gebruikt.

• Voeg de URL van de uitbreidingen die u niet wilt toestaan toe aan de blokkeringslijst. Deze optie is alleen beschikbaar op Tableau Server. Zie Specifieke uitbreidingen blokkeren.

Uitbreidingen voor een site uitschakelen

Uitbreidingen zijn standaard ingeschakeld op Tableau Server en Tableau Cloud. Op Tableau Server kan de serverbeheerder uitbreidingen voor een site uitschakelen. Op Tableau Cloud kan de sitebeheerder uitbreidingen voor de site uitschakelen. Op Tableau Server kan de serverbeheerder de uitbreidingen volledig uitschakelen. Deze instelling overschrijft de site-instellingen. U hoeft deze instelling niet te wijzigen op de server of voor de site, omdat u zelf kunt bepalen welke netwerkuitbreidingen u wilt toestaan op de acceptatielijst. U kunt ook de instellingen voor sandbox-uitbreidingen beheren, die standaard zijn toegestaan.

• Als u uitbreidingen op een site (Tableau Server, Tableau Cloud) wilt uitschakelen, wijzigt u de site-instellingen waarmee gebruikers uitbreidingen op de site kunnen uitvoeren. Zie Uitbreidingen en toegang tot data beheren.

Gebruikersprompts weergeven of verbergen om netwerkuitbreidingen uit te voeren

Wanneer u een netwerkuitbreiding toevoegt aan de acceptatielijst, kunt u configureren of gebruikers standaard prompts te zien krijgen wanneer ze de uitbreiding toevoegen aan een dashboard of wanneer ze communiceren met een weergave met de uitbreiding. De prompt vertelt gebruikers details over de netwerkuitbreiding en of de uitbreiding toegang heeft tot volledige data. De prompt geeft gebruikers de mogelijkheid om toe te staan of te weigeren dat de uitbreiding wordt uitgevoerd. U kunt deze prompt voor gebruikers verbergen, zodat de uitbreiding onmiddellijk kan worden uitgevoerd. Wanneer sandbox-uitbreidingen voor een site zijn ingeschakeld, worden deze standaard toegestaan en krijgen gebruikers geen prompt te zien.

Sandbox-uitbreidingen uitschakelen

Vanaf Tableau 2019.4 zijn sandbox-uitbreidingen standaard ingeschakeld voor Tableau Server en Tableau Cloud. Sandbox-uitbreidingen worden uitgevoerd in een beveiligde omgeving die wordt gehost door Tableau. Beheerders kunnen bepalen of gebruikers sandbox-uitbreidingen op een site mogen uitvoeren. Sandbox-uitbreidingen hoeven niet aan de acceptatielijst te worden toegevoegd. Wanneer sandbox-uitbreidingen zijn toegestaan, kunnen gebruikers deze naar eigen inzicht toevoegen aan dashboards, en ook dashboards openen en gebruiken die sandbox-uitbreidingen bevatten. Als u een sandbox-uitbreiding wilt blokkeren, kan een serverbeheerder de sandbox-uitbreiding toevoegen aan een algemene blokkeringslijst. Als u sandbox-uitbreidingen volledig wilt uitschakelen, kunt u de standaardinstelling voor de site wijzigen. Als u de standaardinstelling voor sandbox-uitbreidingen wijzigt, mogen alleen de uitbreidingen (inclusief sandbox-uitbreidingen) die op de acceptatielijst staan, worden uitgevoerd.