配置相互 SSL 身份验证

相关文章推荐

光明磊落的大象 · 2023第五届清华大学SDG开放创新马拉松挑 ...· 1 月前 ·

英勇无比的火腿肠 · python openpyxl删除掉空白行 ...· 4 月前 ·

酒量大的芹菜 · 关于npm和package.json的一些经 ...· 6 月前 ·

活泼的小蝌蚪 · 6 .NET 文件、流、byte_net6 ...· 8 月前 ·

健壮的猴子 · Java猜数字游戏随机生成一个100以内的数 ...· 1 年前 ·

</noscript><div id="app" class="wrapper"><header id="tableau-help-article-header" class="container--full-width quick-help-header"><div class="container--centered"><div class="header__back-button"><back-button title="Go back"/></div><div class="header__mobile-menu quick-help-hidden"><menu-tree-toggle/></div><div class="header__logo quick-help-hidden"><a href="https://www.tableau.com/zh-cn/"><img src="./Resources/tableau-logo.png" class="header__logo__img" alt="Tableau"/></a></div><div class="header__search"><search-header-help placeholder="搜索"/></div><div class="header__home-button"><home-button title="Go home"/></div></div></header><div class="container--navigation-top quick-help-hidden content-only-hidden"><div id="help-subheader" class="subheader print-hidden"><div class="container--centered"><h4 class="heading--subheader">Windows 版 Tableau Server 帮助</h4></div></div><div class="container--top-links"><div class="container--centered container--breadcrumbs"><div><breadcrumb-links-help/></div></div><div id="help-container-menu-headings" class="container--menu-headings"><nav class="nav-medium-screen"><menu-heading-links-static-help menu-title="本文内容" :disabled="false" :headings="pageHeadings"/></nav></div></div></div><div class="section--main container--full-width"><div class="container--centered"><nav class="nav-side nav-side--left" role="navigation"><menu-tree-help menu-title="内容"/></nav><article role="main"><h1 id="contentH1"/><div class="caption article__tags content-only-hidden quick-help-hidden"><span class="article__tags--applies-to"> </span><br/><span class="article__tags--role"> </span></div><div xmlns:madcap="http://www.madcapsoftware.com/Schemas/MadCap.xsd" id="content-body">&#13; <div role="main" id="mc-main-content"><p>使用相互 SSL，您可以为 Tableau Desktop、Tableau Mobile 和其他认可的 Tableau 客户端的用户提供安全的 <span class="VariablesProductName">Tableau Server</span> 直接访问体验。借助相互 SSL，当具有有效 SSL 证书的客户端连接到 <span class="VariablesProductName">Tableau Server</span> 时，<span class="VariablesProductName">Tableau Server</span> 将确认存在客户端证书，并基于客户端证书中的用户名对用户进行身份验证。如果客户端没有有效的 SSL 证书，则 Tableau Server 会拒绝连接。</p><p>您也可以将 Tableau Server 配置为在相互 SSL 失败的情况下回退为使用用户名/密码身份验证。此外，无论是否配置回退身份验证，用户都可以使用用户名和密码（如果存在）通过 REST API 登录。</p><h2 is="heading-item" :level="2" id="用户身份验证会话时间限制">用户身份验证会话时间限制</h2><p>当用户使用相互 SSL 登录时，身份验证会话的管理方法与管理 Tableau Server 全局身份验证会话配置的方法相同。</p><p>对于使用 Web 浏览器连接到 Tableau Server 的客户端，<i>安全强化检查表</i>中描述了全局身份验证会话的配置，<conditionaltext data-mc-conditions="Product.serverwindows">请参见 <a href="security_harden.htm#10." class="MCXref xref" xrefformat="{paratext}">10.验证会话生命周期配置</a>。</conditionaltext></p><p>连接的客户端（Tableau Desktop、Tableau Mobile、Tableau Prep Builder 和 Bridge）的会话使用 OAuth 令牌通过重新建立会话来保持用户登录。默认情况下，OAuth 客户端令牌会在一年后重置。如果客户端令牌在 14 天内未使用，则它将过期。可通过设置 <code>refresh_token.absolute_expiry_in_seconds</code> 和 <code>refresh_token.idle_expiry_in_seconds</code> 选项来更改这些值。请参见 <a href="cli_configuration-set_tsm.htm" class="MCXref xref" xrefformat="{paratext}">tsm configuration set 选项</a>。</p><h2 is="heading-item" :level="2" id="证书使用情况">证书使用情况</h2><p>在启用和配置相互 SSL 之前，您必须配置外部 SSL。外部 SSL 向客户端验证 Tableau Server，并使用配置外部 SSL 时所需的证书和密钥加密会话。</p><p>对于相互 SSL，需要额外的证书文件。该文件是 CA 证书文件的级联。文件类型必须为 <code>.crt</code>。“CA”是向连接到 Tableau Server 的客户端计算机颁发证书的<i>证书颁发机构</i>。上传 CA 证书文件的操作会建立信任，使 Tableau Server 能够对客户端计算机提供的单个证书进行身份验证。</p><p>作为灾难恢复计划的一部分，我们建议将证书和吊销（如果适用）文件的备份保留在 Tableau Server 外的安全位置。添加到 Tableau Server 的证书和吊销文件将由客户端文件服务存储并分发到其他节点。但是，这些文件不会以可恢复格式存储。请参见<a href="server_process_cfs.htm" class="MCXref xref" xrefformat="{paratext}">Tableau Server 客户端文件服务</a>。</p><p><b>RSA 密钥和 ECDSA 曲线大小</b></p><p>用于相互 SSL 的 CA 证书的 RSA 密钥强度必须为 2048，或者 ECDSA 曲线大小为 256。</p><p>您可以通过设置相应的配置键来将 Tableau Server 配置为接受安全性较低的大小：</p><ul><li value="1">ssl.client_certificate_login.min_allowed.rsa_key_size</li><li value="2">ssl.client_certificate_login.min_allowed.elliptic_curve_size</li></ul><p>请参见 <a href="cli_configuration-set_tsm.htm" class="MCXref xref" xrefformat="{paratext}">tsm configuration set 选项</a>。</p><h3 is="heading-item" :level="3" id="客户端证书要求">客户端证书要求</h3><p>使用双向 SSL 向 Tableau Server 进行身份验证的用户必须提供满足最低安全要求的客户端证书。</p><p><b>签名算法</b></p><p>客户端证书必须使用 SHA-256 或更强的签名算法。</p><p>配置为相互 SSL 身份验证的 Tableau Server 将阻止通过使用 SHA-1 签名算法客户端证书进行用户身份验证。</p><p>尝试使用 SHA-1 客户端证书登录的用户遇到“Unable to sign in”（无法登录）错误，并且 VizPortal 日志将出现以下错误：</p><p><code>Unsupported client certificate signature detected: [certificate Signature Algorithm name]</code></p><p>您可以通过设置 <a href="cli_configuration-set_tsm.htm#ssl.clie" class="MCXref xref" xrefformat="{paratext}">ssl.client_certificate_login.blocklisted_signature_algorithms</a> tsm 配置选项，将 Tableau Server 配置为接受不太安全的 SHA-1 签名算法。</p><p><b>RSA 密钥和 ECDSA 曲线大小</b></p><p>用于相互 SSL 的客户端证书的 RSA 密钥强度必须为 2048，或者 ECDSA 曲线大小为 256。</p><p>Tableau Server 将拒绝来自不符合这些要求的客户端证书的相互身份验证请求。您可以通过设置相应的配置键来将 Tableau Server 配置为接受安全性较低的大小：</p><ul><li value="1">ssl.client_certificate_login.min_allowed.rsa_key_size</li><li value="2">ssl.client_certificate_login.min_allowed.elliptic_curve_size</li></ul><p>请参见 <a href="cli_configuration-set_tsm.htm" class="MCXref xref" xrefformat="{paratext}">tsm configuration set 选项</a>。</p><div is="tab-list" class="tab-list"><div is="tab-item" class="tab-item" title="使用 TSM Web 界面"><ol><li value="1"><p><a href="ssl_config.htm" class="MCXref xref" xrefformat="{paratext}">针对与来往 Tableau Server 的外部 HTTP 流量配置 SSL</a>。</p></li><li value="2"><p>在浏览器中打开 TSM：</p><p>https://&lt;tsm-computer-name&gt;:8850。有关详细信息，请参见<a href="sign_in_tsm.htm" class="MCXref xref" xrefformat="{paratext}">登录到 Tableau 服务管理器 Web UI</a>。</p></li><li value="3"><p>在<span class="uicontrol">“配置”</span>选项卡上，选择<span class="uicontrol">“用户身份和访问”</span>&gt;<span class="uicontrol">“身份验证方法”</span>。</p></li><li value="4"><p>在<span class="uicontrol">“身份验证方法”</span>下的下拉菜单中选择<span class="uicontrol">“相互 SSL”</span>。</p></li><li value="5"><p>在“相互 SSL”下，选择<span class="uicontrol">“通过客户端证书使用相互 SSL 和自动登录”</span>。</p></li><li value="6"><p>单击<span class="uicontrol">“选择文件”</span>，并将您的证书颁发机构 (CA) 证书文件上载到服务器。</p><p>该文件 (.crt) 是一个一体式文件，其中包括用于客户端身份验证的 CA 证书。您上载的文件必须是各种 PEM 编码的证书文件的级联，按优先顺序排列。</p></li><li value="7"><p>输入组织的其余 SSL 配置信息。</p><p><b>用户名格式</b>：当 <span class="VariablesProductName">Tableau Server</span> 配置为使用相互 SSL 时，服务器将从客户端证书中获取用户名，以便能够为客户端用户建立直接登录。<span class="VariablesProductName">Tableau Server</span> 使用的名称取决于如何配置 <span class="VariablesProductName">Tableau Server</span> 来进行用户身份验证。</p><ul><li value="1">本地身份验证 — <span class="VariablesProductName">Tableau Server</span> 使用证书中的 UPN（用户主体名称）。</li><li value="2"><strong>Active Directory (AD)</strong> — <span class="VariablesProductName">Tableau Server</span>使用 LDAP（轻量级目录访问协议）来获取用户名。</li></ul><p>或者，您可以将 <span class="VariablesProductName">Tableau Server</span> 设置为使用客户端证书中的 CN（公用名称）。</p><p><img src="Img/tsm-ui-mutualssl.png" alt="配置相互 SSL 屏幕截图"/></p></li><li value="8"><p>输入配置信息后，单击<span class="uicontrol">“保存待处理的更改”</span>。</p></li><li value="9"><p>单击页面顶部的<span class="uicontrol">“待定更改”</span>：</p><p><img src="Img/tsm-ui-pending-changes-btn.png" alt=""/></p></li><li value="10"><p>单击<span class="uicontrol">“应用更改并重新启动”</span>。</p></li></ol></div><div is="tab-item" class="tab-item" title="使用 TSM CLI"><h3>步骤 1：需要为外部服务器通信使用 SSL</h3><p>若要将 <span class="VariablesProductName">Tableau Server</span> 配置为对 <span class="VariablesProductName">Tableau Server</span> 和 Web 客户端之间的外部通信使用 SSL，请按如下方式运行 <code>external-ssl enable</code> 命令，并提供服务器证书的 .crt 和 .key 文件的名称：</p><p><code>tsm security external-ssl enable --cert-file &lt;file.crt&gt; --key-file &lt;file.key&gt;</code></p><ul><li value="1"><p>对于 <code>--cert-file</code> 和 <code>--key-file</code>，指定在其中保存了 CA 颁发的 SSL 证书 (.crt) 和密钥 (.key) 文件的位置和文件名。</p></li><li value="2"><p>上面的命令假设您已作为在 <span class="VariablesProductName">Tableau Server</span> 上具有<span class="uicontrol">“服务器管理员”</span>站点角色的用户登录。您可以改用 <code>-u</code> 和 <code>-p</code> 参数来指定管理员用户和密码。</p></li><li value="3"><p>如果证书密钥文件需要密码，请包括 <code>--passphrase</code> 参数和值。</p></li></ul><h3>步骤 2：配置并启用相互 SSL</h3><p>在服务器和每个客户端之间添加相互身份验证，并允许 Tableau 客户端用户在第一次提供其凭据后直接进行身份验证。</p><ol><li value="1"><p>运行以下命令：</p><p><code>tsm authentication mutual-ssl configure --ca-cert &lt;certificate-file.crt&gt;</code></p><p>对于 <code>--ca-cert</code>，指定证书颁发机构 (CA) 证书文件的位置和文件名。</p><p>该文件 (.crt) 是一个一体式文件，其中包括用于客户端身份验证的 CA 证书。您上载的文件必须是各种 PEM 编码的证书文件的级联，按优先顺序排列。</p></li><li value="2"><p>运行以下命令以启用相互 SSL 并应用更改：</p><p><code>tsm authentication mutual-ssl enable</code></p><p><code>tsm pending-changes apply</code></p><p>如果待定更改需要重新启动服务器，<code>pending-changes apply</code> 命令将显示一个提示，告知您将进行重新启动。即使服务器已停止，此提示也会显示，但在这种情况下不会重新启动。您可以使用 <code>--ignore-prompt</code> 选项隐藏提示，但这样做不会改变重新启动行为。如果更改不需要重新启动，则会在不提示的情况下应用更改。有关详细信息，请参见<a href="cli_pending-changes.htm#pending-changes-apply" class="MCXref xref" xrefformat="{paratext}">tsm pending-changes apply</a>。</p></li></ol><h3>其他相互 SSL 选项</h3><p>可以使用 <code>mutual-ssl configure</code> 将 <span class="VariablesProductName">Tableau Server</span> 配置为支持以下选项。</p><p>有关详细信息，请参见 <a href="cli_authentication_tsm.htm#TSMMutualSSL">tsm authentication mutual-ssl &lt;commands&gt;</a>。</p><h4>后备身份验证</h4><p>如果 <span class="VariablesProductName">Tableau Server</span> 配置为使用相互 SSL，则会自动进行身份验证，并且客户端必须具有有效的证书。您可以配置 <span class="VariablesProductName">Tableau Server</span> 以允许回退选项，以接受用户名和密码身份验证。</p><p><code>tsm authentication mutual-ssl configure -fb true</code></p><p>Tableau Server 接受来自 REST API 客户端的用户名和密码身份验证，即使上面的选项设置为 <code>false</code>。</p><h4>用户名映射</h4><p>当 <span class="VariablesProductName">Tableau Server</span> 配置为使用相互 SSL 时，服务器将通过从客户端证书中获取用户名来直接验证用户的身份。<span class="VariablesProductName">Tableau Server</span>使用的名称取决于如何配置服务器来进行用户身份验证。</p><ul><li value="1"><p><strong>本地身份验证</strong> — 使用证书中的 UPN（用户主体名称）。</p></li><li value="2"><p><strong>Active Directory (AD)</strong> — 使用 LDAP（轻量目录访问协议）来获取用户名。</p></li></ul><p>您可以替代任一默认值以将 <span class="VariablesProductName">Tableau Server</span> 设置为使用公用名称。</p><p><code>tsm authentication mutual-ssl configure -m cn</code></p><p>有关详细信息，请参见<a href="ssl_mutual_mapping_username.htm" class="MCXref xref" xrefformat="{paratext}">在相互身份验证过程中将客户端证书映射到用户</a></p><h4>证书吊销列表 (CRL)</h4><p>如果怀疑私钥已泄露，或者，如果证书颁发机构 (CA) 没有正确颁发证书，则您可能需要指定 CRL。</p><p><code>tsm authentication mutual-ssl configure -rf &lt;revoke-file.pem&gt;</code></p></div></div></div></div><div class="article__footer--back-to-top text--centered print-hidden quick-help-hidden"><a href="#" class="text--caps"><span class="icon--med icon--arrow-up"/> 回到顶部</a></div><feedback-form :disabled="false" class="print-hidden content-only-hidden" helpful-question="此内容是否有帮助?" helpful-yes="是" helpful-no="否" comment-question="我们重视您的反馈。在此处添加注释。" submit-option="发送" cancel-option="取消" loading-text="正在发送..."><span slot="submittedMessage">感谢您的反馈!</span></feedback-form></article><nav class="nav-side nav-side--right"><menu-heading-links-scrollable-help menu-title="本文内容" :disabled="false" :headings="pageHeadings"/></nav></div></div><feedback-button-floating tooltip="发送反馈" :disabled="false"/><footer class="container--full-width"><div class="container--centered"><div class="footer__links text--caps"><ul><li><a href="https://www.tableau.com/zh-cn/legal" class="">法律</a></li><li><a id="privacyLink" class="">隐私</a></li><li><a href="#" data-ignore-geolocation="true" class="optanon-toggle-display">Cookie Preferences</a></li></ul></div><div class="footer__copyright text--caps">© 2003-2022 Tableau Software LLC.保留所有权利</div></div></footer></div> </body>