使用外部身份存储的部署中的用户管理

相关文章推荐

沉着的回锅肉 · Snowflake - Tableau· 1 周前 ·

光明磊落的登山鞋 · 测试升级 - Tableau· 1 周前 ·

严肃的围巾 · 验证码_哔哩哔哩· 2 年前 ·

强健的鸡蛋面 · 如何配置MySQL数据库超时设置· 2 年前 ·

聪明的作业本 · python - memory error ...· 2 年前 ·

威武的水桶 · VSCode神技-让双手不离键盘 - 掘金· 2 年前 ·

道上混的消炎药 · C 判断 —— ...· 2 年前 ·

</noscript><div id="app" class="wrapper"><header id="tableau-help-article-header" class="container--full-width quick-help-header"><div class="container--centered"><div class="header__back-button"><back-button title="Go back"/></div><div class="header__mobile-menu quick-help-hidden"><menu-tree-toggle/></div><div class="header__logo quick-help-hidden"><a href="https://www.tableau.com/zh-cn/"><img src="./Resources/tableau-logo.png" class="header__logo__img" alt="Tableau"/></a></div><div class="header__search"><search-header-help placeholder="搜索"/></div><div class="header__home-button"><home-button title="Go home"/></div></div></header><div class="container--navigation-top quick-help-hidden content-only-hidden"><div id="help-subheader" class="subheader print-hidden"><div class="container--centered"><h4 class="heading--subheader">Windows 版 Tableau Server 帮助</h4></div></div><div class="container--top-links"><div class="container--centered container--breadcrumbs"><div><breadcrumb-links-help/></div></div><div id="help-container-menu-headings" class="container--menu-headings"><nav class="nav-medium-screen"><menu-heading-links-static-help menu-title="本文内容" :disabled="false" :headings="pageHeadings"/></nav></div></div></div><div class="section--main container--full-width"><div class="container--centered"><nav class="nav-side nav-side--left" role="navigation"><menu-tree-help menu-title="内容"/></nav><article role="main"><h1 id="contentH1"/><div class="caption article__tags content-only-hidden quick-help-hidden"><span class="article__tags--applies-to"> </span><br/><span class="article__tags--role"> </span></div><div id="content-body">&#13; <div role="main" id="mc-main-content"><p>本主题介绍重要的技术细节，如果您使用外部身份存储为 Tableau Server 管理用户，您应该熟悉这些细节。Tableau Server 支持使用 LDAP 连接到外部目录。在这种情况下，Tableau Server 会将用户作为系统用户从外部 LDAP 目录导入 Tableau Server 存储库。</p><h2 is="heading-item" :level="2" id="任意-ldap-目录">任意 LDAP 目录</h2><p>Tableau 中的系统用户名是您在 LDAP 配置过程中设置的任何属性，例如“cn”。对于单个用户导入和组同步功能，情况都是如此。请参见<a href="ldap_config.htm" class="MCXref xref" xrefformat="{paratext}">外部身份识存储配置参考</a>。</p><h3 is="heading-item" :level="3" id="登录时的用户绑定行为"><a name="User"/>登录时的用户绑定行为</h3><p>您可能需要更新 LDAP 配置以允许绑定附加有 DN 的用户名。具体而言，当 Tableau Server 配置有任意 LDAP 目录时，您将需要更新 LDAP 配置。（例如，OpenLDAP）使用 UPN 或电子邮件地址作为用户名。</p><p>Tableau Server 将根据登录期间提供的用户名搜索给定用户。然后，Tableau Server 将尝试绑定附加有 DN 的用户名。如果 Tableau Server 配置有 GSSAPI，则将使用 username@REALM（域名）。</p><h2 is="heading-item" :level="2" id="active-directory">Active Directory</h2><p>本主题其余部分中内容假定您熟悉 Active Directory 用户管理和 Active Directory 的基本架构和域概念。</p><p data-mc-conditions="Product.serverwindows">如果要安装到 Active Directory 中，您必须将 Tableau Server 安装到加入 Active Directory 域的计算机上。</p><p class="note"><strong>注意：</strong>在用户和组同步的情况下，使用 LDAP 标识存储配置的 Tableau Server 与 Active Directory 等效。Tableau Server 中的 Active Directory 同步功能可以无缝地与正确配置的 LDAP 目录解决方案配合使用。</p><h3 is="heading-item" :level="3" id="active-directory-用户身份验证和-tableau-server">Active Directory 用户身份验证和 Tableau Server</h3><p><span class="VariablesProductName">Tableau Server</span> 将所有用户名存储在 Tableau Server 身份存储中，身份存储由存储库进行管理。如果 <span class="VariablesProductName">Tableau Server</span> 配置为使用 Active Directory 进行身份验证，则您必须首先将用户标识从 Active Directory 导入到标识存储。当用户登录到 <span class="VariablesProductName">Tableau Server</span> 时，他们的凭据会传递到 Active Directory，后者负责对用户进行身份验证；Tableau Server 不执行此身份验证。（默认情况下使用 NTLM 进行身份验证，但您可以针对单点登录功能启用 Kerberos 或 SAML - 然而，在所有这些情况下，身份验证留给 Active Directory 去做。）然而，存储在标识存储中的 Tableau 用户名与 Tableau Server 的权限相关联。因此，确认身份验证后，Tableau Server 会管理用户的 Tableau 资源访问权限（授权）。</p><h3 is="heading-item" :level="3" id="active-directory-用户名属性和-tableau-server">Active Directory 用户名属性和 Tableau Server</h3><p>Active Directory 使用一些属性唯一标识用户对象。（有关详细信息，请参见 MSDN 网站上的<a href="https://msdn.microsoft.com/zh-cn/library/ms677605(v=vs.85).aspx" target="_blank">用户命名属性<span class="sr-only">(链接在新窗口中打开)</span></a>。）<span class="VariablesProductName">Tableau Server</span> 依赖于两个 Active Directory 用户命名属性：</p><ul><li value="1"><p><code>sAMAccountName</code>。此属性指定的登录名称最初适用于 Windows 的旧版本。在许多组织中，此名称结合 NetBIOS 名称使用像 <code>example\jsmith</code> 之类的格式进行身份验证，其中 <code>example</code> 是 NetBIOS 名称，<code>jsmith</code> 是 <code>sAMAccountName</code> 值。由于 Windows 中原始设计的缘故，<code>sAMAccountName</code> 值必须小于 20 个字符。</p><p>在 Windows<b>“Active Directory 用户和计算机”</b>管理控制台中，此值在用户对象的<b>“帐户”</b>选项卡上标记为<b>“用户登录名（Windows 2000 之前）”</b>的字段中。</p></li><li value="2"><p><code>userPrincipalName</code> (UPN)。此属性使用 <code>jsmith@example.com</code> 格式指定用户名，其中 <code>jsmith</code> 是 UPN 前缀，<code>@example.com</code> 是 UPN 后缀。</p><p>在 Windows<b>“Active Directory 用户和计算机”</b>管理控制台中，UPN 是用户对象的<b>“帐户”</b>选项卡上级联的以下两个字段：<b>“用户登录名”</b>字段以及它旁边的下拉列表域。</p></li></ul><h3 is="heading-item" :level="3" id="从-active-directory-中添加用户">从 Active Directory 中添加用户</h3><p>通过在服务器环境中键入用户，或创建一个 CSV 文件并导入用户，您可以从 Active Directory 中<a href="users_add.htm">单独添加用户</a>。<a href="groups_create_ad.htm">通过 Active Directory 创建组</a>并导入所有组用户，您也可以添加 Active Directory 用户。结果可能会根据所使用的方法而有所不同。</p><div><p><b>将 UPN 前缀作为用户名导入</b></p><p>您不能将整个 UPN 作为用户名导入。</p><p>大多数情况下，Tableau Server 将导入身份存储的用户名将是 sAMAccountName 值。有关此行为的例外情况的详细信息，请参见知识库文章<a href="https://kb.tableau.com/articles/zh_cn/HowTo/Importing-UPN-Prefix-as-Username-in-Non-Standard-Scenarios-with-Active-Directory?popup=true&amp;lang=zh-cn" target="_blank">在使用 Active Directory 的非标准情况下，导入 UPN 前缀作为用户名<span class="sr-only">(链接在新窗口中打开)</span></a>。</p></div><h4>添加用户组</h4><p>如果您导入 Active Directory 用户组，Tableau 将使用 <code>sAMAccountName</code> 导入组中的所有用户。</p><h3 is="heading-item" :level="3" id="从-active-directory-中移除用户时的同步行为"><a name="Sync"/>从 Active Directory 中移除用户时的同步行为</h3><p>无法通过 Active Directory 同步操作从 Tableau Server 中自动移除用户。在 Active Directory 中从组中禁用、删除或移除的用户保留在 Tableau Server 上，因此，您可在完全移除用户的帐户之前审核和重新分配用户的内容。</p><p>但是，Tableau Server 处理用户对象的方式将因 Active Directory 中用户对象状态的变化方式而有所不同。有两种情形：在 Active Directory 中删除/禁用用户，或者从 Active Directory 的同步组中移除用户。</p><p>在 Active Directory 中删除或禁用用户，然后在 Tableau Server 上同步该用户所在的组时，将发生以下情况：</p><ul><li value="1">从您同步的 Tableau Server 组中移除该用户。</li><li value="2">用户的角色设置为“未许可”。</li><li value="3">用户仍将属于“所有用户”组。</li><li value="4">用户无法登录到 Tableau Server。</li></ul><p>从 Active Directory 的组中移除用户，然后在 Tableau Server 上同步该组时，将发生以下情况：</p><ul><li value="1">从您同步的 Tableau Server 组中移除该用户。</li><li value="2">用户角色将保留：不会设置为“未许可”。</li><li value="3">用户仍将属于“所有用户”组。</li><li value="4">用户仍然具有 Tableau Server 的权限，可以访问“所有用户”组已获授权使用的所有内容。</li></ul><p>在这两种情况下，若要从 Tableau Server 中移除用户，服务器管理员都必须从 Tableau Server 的“服务器用户”页中删除用户。</p><h3 is="heading-item" :level="3" id="域昵称">域昵称</h3><p>在 Tableau Server 中，域昵称相当于 Windows NetBIOS 域名。在 Windows Active Directory 林中，完全限定的域名 (FQDN) 可能具有任意的 NetBIOS 名称。当用户登录到 Active Directory 时，NetBIOS 名称会用作域标识符。</p><p>例如，可以为 FQDN <code>west.na.corp.lan</code> 配置 NetBIOS 名称（昵称）<code>SEATTLE</code>。该域中的用户 <code>jsmith</code> 可以使用以下任何一个用户名登录到 Windows：</p><ul><li value="1"><code>west.na.corp.example.com\jsmith</code></li><li value="2"><code>SEATTLE\jsmith</code></li></ul><p>如果您希望用户使用 NetBIOS 名称而不是 FQDN 登录到 Tableau Server，则将需要为设置用户登录名所在的每个域验证昵称值。有关如何查看和设置每个域的昵称值的信息，请参阅 <a href="tabcmd_cmd.htm#editdoma" class="MCXref xref" xrefformat="{paratext}">editdomain</a>。</p><h3 is="heading-item" :level="3" id="支持多个域"><a name="multiple_domains"/>支持多个域</h3><p>在以下情况下，您可以从不同 Tableau Server 计算机域的域中添加用户和组：</p><ul><li value="1"><p>在服务器域和用户域之间建立了双向信任。</p></li><li value="2"><p>服务器的域信任用户的域（单向信任）。请参见<a href="runas_domain.htm" class="MCXref xref" xrefformat="{paratext}">Active Directory 部署的域信任要求</a>。</p></li></ul><p>首次从非服务器域添加用户或组时，您必须对用户/组名称必须指定完全限定域名。可以使用域昵称添加从该域添加的任何其他用户或组，前提是此昵称与 NetBIOS 名称匹配。如果 Tableau Server 连接到多个域，则还必须通过使用 TSM 设置 <code>wgserver.domain.whitelist</code>（版本 2020.3 及更低版本）或 <code>wgserver.domain.accept_list</code>（版本 2020.4 及更高版本）选项来指定 Tableau Server 连接到的其他域。有关详细信息，请参见 <a href="cli_configuration-set_tsm.htm#wgserver-domain" class="MCXref xref" xrefformat="{paratext}">wgserver.domain.whitelist</a> 或 <a href="cli_configuration-set_tsm.htm#wgserver-domain-acceptlist" class="MCXref xref" xrefformat="{paratext}">wgserver.domain.accept_list</a>。</p><h4>重复的显示名称</h4><p>如果用户显示名称在多个域中不唯一，则在 Tableau 中使用相同的显示名称管理用户可能会造成混淆。Tableau Server 将显示两个用户的相同名称。例如，假设某个组织有两个域：example.lan 和 example2.lan。如果这两个域中都有用户 John Smith，则将该用户添加到组和其他管理任务将在 Tableau Server 中造成混淆。在这种情形下，请考虑在 Active Directory 中为其中一个用户更新显示名称以区分帐户。</p><h3 is="heading-item" :level="3" id="使用-netbios-名称登录到-tableau-server">使用 NetBIOS 名称登录到 Tableau Server</h3><p>用户可以使用域昵称（NetBIOS 名称）登录到 Tableau Server，例如使用 <code>SEATTLE\jsmith</code>。</p><p>Tableau Server 无法查询给定 FQDN 的 NetBIOS 名称。因此，Tableau 会根据命名空间中的第一个条目设置给定 FQDN 的昵称。例如，如果给出 FQDN <code>west.na.corp.lan</code>，Tableau 会将昵称设置为 <code>west</code>。</p><p>因此，在用户使用昵称登录之前，您可能需要在 Tableau Server 上更新域昵称。如果您不更新昵称，用户将必须使用完全限定的域名进行登录。有关详细信息，请参见 Tableau 知识库中的<a href="http://kb.tableau.com/articles/Issue/users-from-new-domain-unable-to-log-in-and-do-not-appear-in-user-list?lang=zh-cn" target="_blank">新域中的用户无法登录并且不会出现在用户列表中<span class="sr-only">(链接在新窗口中打开)</span></a>。</p></div></div><div class="article__footer--back-to-top text--centered print-hidden quick-help-hidden"><a href="#" class="text--caps"><span class="icon--med icon--arrow-up"/> 回到顶部</a></div><feedback-form :disabled="false" class="print-hidden content-only-hidden" helpful-question="此内容是否有帮助?" helpful-yes="是" helpful-no="否" comment-question="我们重视您的反馈。在此处添加注释。" submit-option="发送" cancel-option="取消" loading-text="正在发送..."><span slot="submittedMessage">感谢您的反馈!</span></feedback-form></article><nav class="nav-side nav-side--right"><menu-heading-links-scrollable-help menu-title="本文内容" :disabled="false" :headings="pageHeadings"/></nav></div></div><feedback-button-floating tooltip="发送反馈" :disabled="false"/><footer class="container--full-width"><div class="container--centered"><div class="footer__links text--caps"><ul><li><a href="https://www.tableau.com/zh-cn/legal" class="">法律</a></li><li><a id="privacyLink" class="">隐私</a></li><li><a href="#" data-ignore-geolocation="true" class="optanon-toggle-display">Cookie Preferences</a></li></ul></div><div class="footer__copyright text--caps">© 2003-2022 Tableau Software LLC.保留所有权利</div></div></footer></div> </body>