Versão: adicionado na versão 2026.3.0

A partir da versão 2026.3.0 do Tableau Server, os administradores do servidor têm a opção de substituir os certificados autoassinados usados pelo Tableau Server por certificados personalizados.Se tiver configurado Tableau Server para usar certificados personalizados e depois tiver problemas com o serviço de coordenação (por exemplo, devido a um certificado expirado, uma incompatibilidade de chave ou uma cadeia fornecida pelo cliente que não é mais validada), será necessário tomar medidas especiais para corrigir o problema sem exigir uma nova instalação de Tableau Server e a restauração de um backup existente.Para obter mais informações sobre o uso de certificados personalizados para comunicação de serviço interno, consulte Configuração de certificados personalizados internos para o Tableau Server.

Use a ferramenta por nó recover-coordination-service-cert para substituir o certificado mTLS e o material de chave do serviço de coordenação (ZooKeeper) diretamente no disco.Você deve aplicar o mesmo par de certificado/chave do servidor e do cliente em cada nó.

Pré-requisitos

• Você deve executar a ferramenta em um nó Tableau Server existente, como root ou como o usuário Executar como do Tableau sem privilégios.

• Tenha prontos um par de certificado/chave do servidor e um par de certificado/chave do cliente.Arquivos de cadeia opcionais e frases secretas para chaves criptografadas são aceitos.

Recuperar o certificado personalizado

1. Se ainda não tiver um certificado, gere um novo par autoassinado uma vez, em um único nó, e copie os arquivos idênticos para cada nó.O par deve espelhar o que o TSM gera internamente (EC P-256, autoassinado, CN=*):

   openssl req -x509 -newkey ec -pkeyopt ec_paramgen_curve:prime256v1 -days 1825 -nodes -subj "/CN=*" -keyout server.key -out server.crt

   openssl req -x509 -newkey ec -pkeyopt ec_paramgen_curve:prime256v1 -days 1825 -nodes -subj "/CN=*" -keyout client.key -out client.crt

   Para gerar uma chave criptografada com frase secreta, omita -nodes.O OpenSSL solicita uma frase secreta, que você passa com a opção --server-passphrase ou --client-passphrase correspondente.

2. Execute a ferramenta de recuperação no primeiro nó.Comece com um nó que hospede o serviço de coordenação para que o quorum possa se restabelecer:

   recover-coordination-service-cert --server-cert server.crt --server-key server.key --client-cert client.crt --client-key client.key [--server-chain <file.crt>] [--client-chain <file.crt>] [--server-passphrase <passphrase>] [--client-passphrase <passphrase>]

   A ferramenta pré-valida as entradas antes de interromper qualquer coisa: confirma que o certificado pode ser analisado como X.509, que qualquer frase secreta fornecida descriptografa a chave e que o primeiro certificado em qualquer cadeia fornecida é o emissor do certificado folha.Em seguida, ele interrompe os serviços locais, atualiza a configuração e o repositório de chaves de cada serviço e reinicia o plano de controle (primeiro o ZooKeeper, depois o agente de administração e depois o restante).

3. Execute exatamente o mesmo comando em cada nó restante, usando o certificado e o arquivo-chave idênticos.Recupere primeiro os nós que hospedam o serviço de coordenação e, em seguida, recupere os nós restantes.O cluster não é recuperado até que a ferramenta tenha sido executada em todos os nós — qualquer nó que ainda contenha o repositório de chaves antigo não ingressa novamente.

   Observação: nesta etapa, tsm status mostra os serviços de negócios em um estado de erro.Isso é esperado.A ferramenta aplica o patch nos serviços, mas os deixa interrompidos.O comando set na próxima etapa os exibe.

4. Depois que todos os nós forem concluídos, execute o seguinte comando set uma vez a partir do controlador ou nó inicial para sincronizar a configuração persistida do serviço de coordenação com o que agora está no disco:

   tsm security coordination-service-internal-cert set --server-cert server.crt --server-key server.key --client-cert client.crt --client-key client.key [--server-chain <file.crt>] [--client-chain <file.crt>] [--server-passphrase <passphrase>] [--client-passphrase <passphrase>]

   A ferramenta de recuperação imprime este comando para você, pré-preenchido com os caminhos passados.Ele lembra você de adicionar novamente as opções de frase secreta, mas nunca exibe o valor da frase secreta.O atalho de certificado idêntico do comando sincroniza a configuração e reativa todo o cluster — incluindo os serviços de negócios interrompidos —, limpando o estado de erro.

Solução de problemas: cada execução grava um registro estruturado em ${TABLEAU_SERVER_DATA_DIR}/logs/app-recover-coordination-service-cert.log.

Observação: no Windows, um wrapper equivalente, recover-coordination-service-cert.cmd, aceita as mesmas opções e se comporta da mesma maneira.