Hantera serverhemligheter

Tableau Server behöver lagra ett antal hemligheter som används för att utföra olika funktioner, t.ex. för att skydda intern kommunikation, för att kommunicera med andra program eller operativsystemet eller för att skydda kommunikationen med klienter. I den här kontexten kan hemligheten vara ett lösenord, en token eller en annan sträng som används för att autentisera en entitet mot en annan.

Det finns två kategorier med hemligheter som krävs för att köra Tableau Server. Skillnaden mellan dem ligger i hur hemligheterna genereras.

  • Hemligheter genereras av administratörer. Exempel på dessa hemligheter är inloggningsuppgifter och associerade hemligheter för ”Kör som”-användarkontot och SMTP-inloggningsuppgifterna som används av Tableau Server.
  • Hemligheter som genereras automatiskt av olika processer i systemet. Till exempel krävs en hemlighet för att skydda kommunikationen mellan Cluster Controller- och ZooKeeper-processerna. Och ett antal olika lösenord krävs för varje tjänst och programmeringsanvändare som kommunicerar med Postgres.

De flesta hemligheter krypteras i vila. När en hemlighet behövs avkrypteras den i samband med körningen.

Det här avsnittet beskriver hur hemligheter fungerar och vad du behöver göra för att hantera lagringen av hemligheter i Tableau Server.

Förstå hur lagringen av hemligheter fungerar

Under installationen genererar och lagrar Tableau Server en huvudnyckel i ett Java-nyckelarkiv. Huvudnyckeln används för att kryptera en konfigurationskrypteringsnyckel som används i hela systemet.

När en ny hemlighet skapas eller uppdateras krypteras hemligheten med konfigurationskrypteringsnyckeln. Det krypterade värdet lagras sedan med motsvarande konfigurationsparameter i en YAML-fil på servern. Parametrar som innehåller ett krypterat värde har formatet ENC(<encrypted string>), där <encrypted string> är en Base64-kodad krypterad sträng.

När en hemlighet behövs vid körtillfället läses de krypterade värdena in i minnet och avkrypteras med konfigurationskrypteringsnyckeln.

Om det finns väntande ändringar och du anger hemligheter i samband med en konfigurationsändring krypteras hela transaktionen. När du har angett hemligheten och sparar den väntande ändringen skickas hemligheten till samordningstjänsten (via krypterad SSL). Samordningstjänsten krypterar hemligheten och lagrar den tills de väntande ändringarna tillämpas. När ändringarna tillämpas uppgraderas hemligheten (som fortfarande är krypterad) till den senaste konfigurationsversionen.

Tableau Server krypterar hemligheter med 256-bit AES i GCM-läge. Nycklarna som används för säker lagring skiljer sig från resursnycklarna som används för att kryptera inbäddade databasinloggningsuppgifter innan de lagras på lagringsplatsen.

Vem kan komma åt huvudnyckeln?

I en standardinstallation installeras Java-nyckelarkivet för Tableau Server i mappen \ProgramData\Tableau\Tableau Server\data\tabsvc\crypto\keystores\. Om du har installerat Tableau på en annan enhet än systemenheten är sökvägen <install drive>:\Tableau\Tableau Server\data\tabsvc\crypto\keystores\. Som standard har följande konton åtkomst till den här katalogen:

  • ”Kör som”-användarkonton (om ett sådant har konfigurerats).
  • Fördefinierade lokala NetworkService-konton för Windows.
  • Fördefinierade lokala LocalSystem-konton för Windows.
  • Medlemmar i gruppen Administratörer på datorn

Importera och exportera konfigurationsinformation

Med Tableau Services Manager kan du importera och exportera konfigurationsinformation med export av tsm-inställningar.

Obs! I den här versionen av Tableau Server går det inte att återställa konfigurationsinformation från en säkerhetskopia. I stället rekommenderar vi att du använder export- och importkommandona för att säkerhetskopiera och återställa konfigurationsinformation.

Konfigurationshemligheter krypteras när de lagras internt på en disk, men när konfigurationen exporteras till en fil skrivs hemligheterna till filen i klartext. Det är administratörens ansvar att skydda den här filen. Du kan välja mellan flera olika alternativ:

  • Skriv filen till ett krypterat filsystem.
  • Skriv filen till en katalog som endast specifika användare eller grupper med behörighet till filsystemet kan komma åt.
  • Kryptera utdatafilen.

Skydda hemligheter vid import- och exportåtgärder

Kryptera den resulterande säkerhetskopian med hjälp av tredjepartsverktyg som till exempel OpenSSL.

Klusternoder

När du lägger till en ny nod i Tableau Server-klustret måste du först generera konfigurationsfilen för noden (tsm topology). Konfigurationsfilen för noden innehåller en kopia av den primära nyckelarkivfilen som används för att kryptera konfigurationshemligheterna.

Viktigt: Vi rekommenderar starkt att du vidtar ytterligare åtgärder för att skydda konfigurationsfilen för noden när du exporterar en konfigurationsfil med hemligheter.

När du installerar och konfigurerar Tableau Server på den nya noden måste du ange konfigurationsfilen för noden i kommandot initialize-tsm.

Händelseloggning för lagring av hemligheter

Följande händelser som rör lagringen av hemligheter loggas:

  • Genereringen av nya krypteringsnycklar.
  • Krypteringsnycklar förnyas eller ändras.
  • Krypteringen av ett nytt värde i konfigurationsfilen.

Mer information om loggfiler och var de lagras finns i Arbeta med loggfiler.

Hantera hemligheter

Som Tableau Server-administratör är den viktigaste uppgiften när det gäller lagringen av hemligheter att regelbundet uppdatera hemligheterna. I vissa fall (felsökning eller granskning av servrar) kan du behöva hämta ett lösenord.

När det gäller andra åtgärder, som att uppgradera versioner, säkerhetskopiera och återställa eller lägga till nya noder i ett kluster, hanterar Tableau Server (som du sett ovan) lagringen av hemligheter och relaterade processer automatiskt.

Uppdatera hemligheter

Du bör uppdatera hemligheter med jämna mellanrum, baserat på företagets säkerhetspolicy.

Du kan uppdatera huvudnyckeln och automatiskt genererade hemligheter genom att köra tsm security regenerate-internal-tokens.

Hämta lösenord

I vissa fall kan du behöva hämta ett lösenord för felsökning eller för andra åtgärder. Du kan till exempel behöva readonly-inloggningsuppgifterna för Postgres som genereras och krypteras av Tableau Server. I dessa fall kan du köra ett tsm-kommando som hämtar och dekrypterar lösenordet åt dig.

Du kan hämta ett lösenord genom att öppna kommandotolken och köra ett tsm configuration get-kommando för någon av parametrarna som anges i tabellen nedan.

Om du till exempel vill hämta ett lösenord för en readonly-användare i Postgres skriver du följande kommando:

tsm configuration get -k pgsql.readonly_password

Kommandot returnerar lösenordet i klartext:

$ tsm configuration get -k pgsql.readonly_password

password

Configuration ParameterDescription
clustercontroller.zookeeper.passwordPassword for cluster controller to connect to zookeeper.
indexandsearchserver.client.password Password for logging into Index and Search Server.
indexandsearchserver.ssl.admin.cert.bytes Admin certificate that is used for administrative access to the Index and Search Server. The admin certificate is used to generate the node certificate.
indexandsearchserver.ssl.admin.key.file_bytes Certificate key for administrative access to the Index and Search Server.
indexandsearchserver.ssl.node.cert.bytes Certificate that is used for Index and Search Server node-to-node communication.
indexandsearchserver.ssl.node.key.file_bytes Certificate key that is used for Index and Search Server node-to-node communication.
indexandsearchserver.ssl.root.cert.bytes Certificate that is used to sign the admin and node certificates . This certificate is used by TSM for health check and by NLP to connect to Index and Search Server.
indexandsearchserver.ssl.root.key.file_bytes Certificate key for root certificate.
filestore.zookeeper.passwordPassword for filestore to connect to zookeeper.
hyper.connection.init_password Password used to initialize the Hyper database for user tableau_internal_user and is then used for connecting to Hyper.
jdbc.passwordPassword for the rails Postgres user.
kms.persistent_store A collection of master encryption keys (MEKs) used by the Key Management System.
maestro.rserve.password Password for connecting to an external Rserve instance used by Tableau Prep Conductor for running flows that have nodes with R scripts.
maestro.tabpy.passwordPassword for connecting to an external TabPy (Python server) instance used by Tableau Prep Conductor for running flows that have nodes with Python scripts.
oauth.google.client_secretClient secret of the Google Cloud Platform account.
oauth.quickbooks.consumer_secretConsumer secret of the Intuit developer account.
oauth.salesforce.client_secretClient secret of the Salesforce developer account.
pgsql.adminpassword

Lösenord för tblwgadmin-användaren i Postgres.

Obs! Även om konfigurationsparametern är krypterad i Tableaus konfigurationsfiler (tabsvc.yml och workgroup.yml) så lagras det här lösenordet i klartext i filer som används av SAML.

pgsql.readonly_passwordPassword for the readonly Postgres user.
pgsql.remote_passwordPassword for the tableau Postgres user.
redis.password

Lösenord för Redis.

Obs! Även om konfigurationsparametern är krypterad i Tableaus konfigurationsfiler (tabsvc.yml och workgroup.yml) så lagras konfigurationen i klartext i redis.conf-filen som används av Redis-programmet. Redis stöder inte krypterade/skyddade lösenord.

servercrashupload.proxy_server_passwordPassword for custom proxy server used to upload crash reports.
service.runas.passwordPassword of the Run As users. Stored temporarily.
ssl.cert.file_bytes The content of one of the three SSL certificate files uploaded by the administrator. The certificate files are required to enable secure external connections to Tableau Server.
ssl.chain.file_bytes The chain file(s) for the certificates uploaded by the administrator for external SSL.
ssl.key.file_bytesKey file(s) for the certificates uploaded by the administrator for external SSL.
ssl.key.passphraseOptional passphrase used to protect the external SSL key.
svcmonitor.notification.smtp.passwordSMTP Server password supplied by the administrator through TabConfig.exe.
tabadminservice.passwordPassword for the service that allows server admins to download log files through the web interface.
vizportal.openid.client_secretThis is the password ("provider client secret") used for OpenID Connect SSO.
vizqlserver.external_proxy_password Password used to authenticate to an external proxy.
wgserver.domain.passwordPassword used to bind to Active Directory.
wgserver.saml.key.passphrasePassphrase used to access the PKCS#8 SAML key file.
zookeeper.tsm.passwordPassword that TSM uses to connect to Zookeeper coordination service
Tack för din feedback!Din feedback har skickats in. Tack!