เหตุใดจึงต้องใช้ใบรับรองที่กำหนดเอง

การติดตั้ง Tableau Server ไม่จำเป็นต้องมีใบรับรองที่กำหนดเองเสมอไป แต่สำหรับองค์กรที่ต้องปฏิบัติตามข้อกำหนดของอุตสาหกรรมที่มีการควบคุม (เช่น FIPS) ความสามารถในการใช้ใบรับรองที่กำหนดเองแทนใบรับรองที่ลงนามด้วยตนเองเป็นสิ่งสำคัญ โดยอาจจำเป็นต้องใช้ในการแก้ไขผลการสแกนความปลอดภัยที่ทำเครื่องหมายใบรับรองภายในที่ลงนามด้วยตนเอง ทีมฝ่ายไอทีและการรักษาความปลอดภัยของคุณควรแจ้งให้คุณทราบ หากคุณจำเป็นต้องใช้ใบรับรองที่กำหนดเอง

บริการที่รองรับใบรับรองที่กำหนดเอง

บริการภายในต่อไปนี้รองรับใบรับรองที่กำหนดเอง ใช้ชื่อบริการที่มีตัวเลือก --name ของ tsm security internal-cert set และ tsm security internal-cert reset หากต้องการดูชื่อบริการที่ใช้ได้ ให้เรียกใช้ tsm security internal-cert list โดยไม่มีตัวเลือก --name

• TLS แบบเรียบง่าย (ใบรับรองเซิร์ฟเวอร์และคีย์ พร้อมเชนที่ไม่บังคับ):

  apiGateway, gatewayInternal, hyper, jmx, thrift, tsigLogs, relationshipService, recommendationsService, vizportalMetadataApi และ backgrounderMetadataApi

• TLS ร่วมกัน (mTLS) ซึ่งต้องใช้ใบรับรองไคลเอ็นต์และคีย์นอกเหนือจากใบรับรองเซิร์ฟเวอร์:

  activemqMTLS, coordinationService

  หมายเหตุ: คุณสามารถกำหนดค่าบริการรวมด้วยคำสั่งของบริการเองได้ หากคุณเลือกใช้ใบรับรองแยกต่างหากสำหรับบริการนั้น หากต้องการข้อมูลเพิ่มเติม โปรดดูที่ (ไม่บังคับ) การกำหนดค่าใบรับรองที่กำหนดเองแยกต่างหากสำหรับบริการรวมด้านล่าง

นอกจากนี้ tsm security internal-cert set-all ยังจัดการระบบย่อยที่มีอยู่ก่อนแล้วต่อไปนี้:

• SSL ที่เก็บ (PostgreSQL), SSL ตัวควบคุม TSM และ OpenSearch (เซิร์ฟเวอร์ดัชนีและการค้นหา)

  เมื่อคุณใช้ set-all ใบรับรองเซิร์ฟเวอร์จะแมปกับโหนดและใบรับรองบริการ ใบรับรองไคลเอ็นต์จะแมปกับไคลเอ็นต์ ActiveMQ และผู้ดูแลระบบ OpenSearch และเชนจะแมปกับ OpenSearch CA

ข้อกำหนดของใบรับรอง

ใบรับรองและคีย์ที่คุณระบุให้กับคำสั่งเหล่านี้ต้องเป็นไปตามข้อกำหนดต่อไปนี้

• ใบรับรองต้องเป็นใบรับรอง X.509 ที่เข้ารหัส PEM คีย์ส่วนตัวต้องอยู่ในรูปแบบ PKCS#1 หรือ PKCS#8

• รองรับอัลกอริทึมคีย์ RSA และ ECC (EC/ECDSA) คีย์ DSA ถูกปฏิเสธ

• รองรับคีย์ที่เข้ารหัส ใช้ตัวเลือก --passphrase และ --client-passphrase ในการระบุวลีรหัสผ่าน

• การจัดหาไฟล์เชนเป็นทางเลือกที่ไม่บังคับ แต่การปรับใช้ส่วนใหญ่จำเป็นต้องมีไฟล์เชน สำหรับ CA ส่วนตัวหรือภายใน จะต้องรวม CA ระดับรูทไว้ในเชน สามารถละเว้น CA ระดับรูทได้ก็ต่อเมื่อมีการออกใบรับรองโดย CA สาธารณะที่เป็นที่รู้จักซึ่ง JVM เชื่อถืออยู่แล้ว ควรติดตั้ง CA ระดับรูทในระบบปฏิบัติการและที่เก็บที่น่าเชื่อถือของ Java บนโหนดทั้งหมด

• การตรวจสอบชื่อโฮสต์: ใบรับรองตัวควบคุม TSM ต้องมีชื่อโดเมนที่มีคุณสมบัติครบถ้วน (FQDN) ของโหนดตัวควบคุมเป็นชื่อทั่วไป (CN) หรือเป็นชื่อทางเลือกของหัวเรื่อง DNS (SAN) ตัวอย่างเช่น DNS:<value returned by the Linux hostname command> การดำเนินการนี้เพียงอย่างเดียวจะช่วยให้ตรวจสอบความถูกต้องได้ ใบรับรองภายในอื่นๆ ไม่ได้ตรวจสอบชื่อโฮสต์ในขณะนี้ หากต้องการเก็บรักษาใบรับรองให้ใช้งานได้เมื่อตัวควบคุม TSM ย้ายไปยังโหนดอื่น ให้ออกใบรับรองด้วย SAN ที่ครอบคลุมทุกโหนดในคลัสเตอร์ที่สามารถเรียกใช้ตัวควบคุมได้ หรือใช้ SAN แบบไวลด์การ์ดสำหรับโดเมนที่ใช้ร่วมกัน (ตัวอย่างเช่น DNS:*.corp.example.com)

• การใช้งานคีย์แบบขยาย (EKU): อย่าตั้งค่า EKU เป็น serverAuth หรือ clientAuth อย่างเดียว คุณสามารถละเว้นการตั้งค่า EKU หรือตั้งค่าเป็นทั้งสองค่า แต่ไม่สามารถตั้งค่าเป็นค่าเดียวได้

ฟีเจอร์ใบรับรองที่กำหนดเองของ Tableau Server มีคำสั่ง TSM CLI ใหม่จำนวนหนึ่ง คำสั่งเหล่านี้ช่วยให้ผู้ดูแลสามารถกำหนดใบรับรองที่ Tableau Server ควรใช้สำหรับการสื่อสารระหว่างบริการภายใน คำสั่งใหม่ประกอบด้วยชุดคำสั่งย่อยภายใต้ tsm security internal-cert และชุดคำสั่งย่อยที่คล้ายกันภายใต้ tsm security coordination-service-internal-cert ที่เฉพาะเจาะจงสำหรับบริการรวม