Por que usar certificados personalizados?

Nem toda instalação do Tableau Server precisa de certificados personalizados, mas para empresas que precisam atender aos requisitos de conformidade de setores regulamentados (FIPS, por exemplo), a capacidade de usar certificados personalizados em vez dos certificados autoassinados é crucial.Eles também podem ser necessários para resolver verificações de segurança que sinalizam certificados internos autoassinados.Suas equipes de TI e segurança devem informar se você precisa usar certificados personalizados.

Serviços compatíveis com certificados personalizados

Os seguintes serviços internos oferecem suporte a certificados personalizados.Use o nome do serviço com a opção --name de tsm security internal-cert set e tsm security internal-cert reset.Para ver os nomes de serviços disponíveis, execute tsm security internal-cert list sem a opção --name.

• TLS simples (certificado do servidor e chave, com uma cadeia opcional):

  apiGateway, gatewayInternal, hyper, jmx, thrift, tsigLogs, relationshipService, recommendationsService, vizportalMetadataApi e backgrounderMetadataApi

• TLS mútuo (mTLS), que requer um certificado do cliente e uma chave, além do certificado do servidor:

  activemqMTLS, coordinationService

  Nota: o serviço de coordenação também pode ser configurado com seu próprio comando se optar por usar um certificado separado para isso.Para obter mais informações, consulte (Opcional) Configuração de um certificado personalizado separado para o serviço de coordenação abaixo.

Além disso, tsm security internal-cert set-all orquestra os seguintes subsistemas preexistentes:

• SSL do repositório (PostgreSQL), SSL do controlador do TSM e OpenSearch (Servidor de índice e pesquisa).

  Ao usar set-all, o certificado do servidor é mapeado para os certificados de nó e de serviço, o certificado do cliente é mapeado para o cliente ActiveMQ e o administrador do OpenSearch, e a cadeia é mapeada para a autoridade de certificação do OpenSearch.

Requisitos de certificado

Os certificados e as chaves que você fornece para esses comandos devem atender aos seguintes requisitos:

• Os certificados devem ser certificados X.509 codificados por PEM.As chaves privadas devem estar no formato PKCS#1 ou PKCS#8.

• Os algoritmos de chave RSA e ECC (EC/ECDSA) são aceitos.As chaves DSA são rejeitadas.

• Chaves criptografadas são aceitas.Use as opções --passphrase e --client-passphrase para fornecer a frase secreta.

• Fornecer um arquivo de cadeia é opcional, mas a maioria das implantações exige um.Para uma autoridade de certificação privada ou interna, a autoridade de certificação raiz deve ser incluída na cadeia.A autoridade de certificação raiz pode ser omitida apenas se o certificado tiver sido emitido por uma autoridade de certificação pública conhecida em que a JVM já confia.A autoridade de certificação raiz também deve ser instalada no sistema operacional e no armazenamento confiável do Java em todos os nós.

• Verificação do nome do host: o certificado do controlador do TSM deve incluir o nome de domínio totalmente qualificado (FQDN) do nó do controlador como o nome comum (CN) ou como um nome alternativo do assunto (SAN) do DNS—por exemplo, DNS:<value returned by the Linux hostname command>.Isso por si só atende à validação.Outros certificados internos não validam nomes de host no momento.Para manter o certificado válido se o controlador do TSM for movido para um nó diferente, emita o certificado com SANs que cubram todos os nós no cluster que possam executar o controlador ou use um SAN curinga para o domínio compartilhado (por exemplo, DNS:*.corp.example.com).

• Uso estendido de chave (EKU): não defina o EKU como serverAuth ou clientAuth isoladamente.É possível deixar a EKU sem definição ou defini-la para ambos os valores, mas não para um individualmente.

O Tableau Server recurso de certificados personalizados apresenta uma série de novos comandos da CLI do TSM.Eles permitem que os administradores designem certificados que o Tableau Server deve usar para a comunicação entre serviços internos.Os novos comandos incluem uma série de subcomandos em tsm security internal-cert e uma série semelhante de subcomandos em tsm security coordination-service-internal-cert que são específicos do serviço de coordenação.