Varför använda anpassade certifikat?

Det är inte alla installationer av Tableau Server som behöver anpassade certifikat, men för företag som måste uppfylla regelefterlevnadskrav inom reglerade branscher (till exempel FIPS) är möjligheten att använda anpassade certifikat i stället för självsignerade avgörande.De kan också krävas för att komma tillrätta med säkerhetskontroller som varnar för självsignerade interna certifikat.Företagets IT- och säkerhetsteam bör veta om ni behöver använda anpassade certifikat.

Tjänster med stöd för anpassade certifikat

Följande interna tjänster har stöd för anpassade certifikat.Använd tjänstens namn med alternativet --name för tsm security internal-cert set och tsm security internal-cert reset.Om du vill visa namnen på de tjänster som är tillgängliga kör du tsm security internal-cert list utan alternativet --name.

• Enkel TLS (servercertifikat och nyckel, med valfri kedja):

  apiGateway, gatewayInternal, hyper, jmx, thrift, tsigLogs, relationshipService, recommendationsService, vizportalMetadataApi, och backgrounderMetadataApi

• Ömsesidig TLS (mTLS), som kräver ett klientcertifikat och en nyckel utöver servercertifikatet:

  activemqMTLS, coordinationService

  Obs! Samordningstjänsten kan också konfigureras med ett eget kommando om du väljer att använda ett separat certifikat för det.Mer information finns i (Valfritt) Konfigurera ett separat anpassat certifikat för samordningstjänsten nedan.

Dessutom samordnar tsm security internal-cert set-all följande befintliga delsystem:

• SSL för lagringsplats (PostgreSQL), SSL för TSM-styrenhet och OpenSearch (index- och sökserver).

  När du använder set-all mappas servercertifikatet till nod- och tjänstecertifikaten, klientcertifikatet mappas till ActiveMQ-klienten och OpenSearch-administratören och kedjan mappas till OpenSearch-certifikatutfärdaren.

Certifikatkrav

De certifikat och nycklar som du anger för de här kommandona måste uppfylla följande krav:

• Certifikaten måste vara PEM-kodade X.509-certifikat.Privata nycklar måste ha formatet PKCS#1 eller PKCS#8.

• Nyckelalgoritmerna RSA och ECC (EC/ECDSA) stöds.DSA-nycklar avvisas.

• Krypterade nycklar stöds.Använd alternativen --passphrase och --client-passphrase för att ange lösenfrasen.

• Det är inget krav att tillhandahålla en kedjefil, men de flesta driftsättningar kräver en sådan.För en privat eller intern certifikatutfärdare måste rotcertifikatutfärdaren inkluderas i kedjan.Rotcertifikatutfärdaren kan bara utelämnas om certifikatet har utfärdats av en välkänd offentlig certifikatutfärdare som redan är betrodd av JVM.Rotcertifikatutfärdaren bör också installeras i operativsystemet och Java-förtroendearkivet på alla noder.

• Värdnamnsverifiering: TSM-styrenhetens certifikat måste innehålla styrenhetsnodens fullständiga domännamn (FQDN) som eget namn (Common Name (CN)) eller som DNS Subject Alternate Name (SAN) – till exempel DNS:<value returned by the Linux hostname command>.Detta räcker för valideringen.Andra interna certifikat validerar inte värdnamn just nu.Om du vill att certifikatet förblir giltigt även om TSM-styrenheten skulle flyttas till en annan nod, utfärdar du certifikatet med SAN som täcker alla noder i klustret som kan köra styrenheten eller så använder du ett SAN med jokertecken för den delade domänen (till exempel DNS:*.corp.example.com).

• Utökad nyckelanvändning (Extended Key Usage (EKU)): Ställ inte in EKU på enbart serverAuth eller clientAuth.Du kan antingen låta bli att ange EKU eller ställa in det på båda värdena, men inte bara det ena.

Funktionen för anpassade certifikat i Tableau Server innehåller ett antal nya kommandon i kommandoradsgränssnittet för TSM.Med dem kan administratörer ange certifikat som Tableau Server ska använda för kommunikation mellan interna tjänster.De nya kommandona innehåller en rad underkommandon för tsm security internal-cert och en liknande serie underkommandon för tsm security coordination-service-internal-cert som är specifika för samordningstjänsten.