配置 Tableau 已连接应用以启用嵌入内容的 SSO

相关文章推荐

谦逊的沙滩裤 · 提高跨数据库联接的性能 - Tableau· 1 周前 ·

留胡子的茶壶 · MySQL 连接器 - Tableau - ...· 1 周前 ·

买醉的沙滩裤 · Troubleshoot designer ...· 7 月前 ·

眼睛小的蚂蚁 · LonelySnowman_社区达人页_阿里 ...· 1 年前 ·

奔放的竹笋 · 数据可视化项目hadoop ...· 1 年前 ·

</noscript><div id="app" class="wrapper"><header id="tableau-help-article-header" class="container--full-width quick-help-header"><div class="container--centered"><div class="header__back-button"><back-button title="Go back"/></div><div class="header__mobile-menu quick-help-hidden"><menu-tree-toggle/></div><div class="header__logo quick-help-hidden"><a href="https://www.tableau.com/zh-cn/"><img src="./Resources/tableau-logo.png" class="header__logo__img" alt="Tableau"/></a></div><div class="header__search"><search-header-help placeholder="搜索"/></div><div class="header__home-button"><home-button title="Go home"/></div></div></header><div class="container--navigation-top quick-help-hidden content-only-hidden"><div id="help-subheader" class="subheader print-hidden"><div class="container--centered"><h4 class="heading--subheader">Windows 版 Tableau Server 帮助</h4></div></div><div class="container--top-links"><div class="container--centered container--breadcrumbs"><div><breadcrumb-links-help/></div></div><div id="help-container-menu-headings" class="container--menu-headings"><nav class="nav-medium-screen"><menu-heading-links-static-help menu-title="本文内容" :disabled="false" :headings="pageHeadings"/></nav></div></div></div><div class="section--main container--full-width"><div class="container--centered"><nav class="nav-side nav-side--left" role="navigation"><menu-tree-help menu-title="内容"/></nav><article role="main"><h1 id="contentH1"/><div class="caption article__tags content-only-hidden quick-help-hidden"><span class="article__tags--applies-to">适用于： Tableau Cloud, Tableau Server</span><br/><span class="article__tags--role"> </span></div><div id="content-body">&#13; <div role="main" id="mc-main-content"><div data-mc-conditions="Product.serverserver"><p>从 Tableau Server 版本 2022.1 开始， Tableau 已连接应用通过促进您的 <span class="VariablesProductName">Tableau Server</span> 站点与嵌入 Tableau 内容的外部应用程序之间建立明确的信任关系，实现无缝且安全的身份验证体验。</p><p>已连接应用提供以下好处：</p><ul><li value="1">限制对哪些内容可以嵌入以及该内容可以嵌入的位置的访问</li><li value="2">为用户提供使用单点登录 (SSO) 访问嵌入内容的能力，而不必与身份提供程序 (IdP) 集成</li><li value="3">为用户提供直接从外部应用程序进行身份验证的能力</li><li value="4">使用 JSON Web 令牌 (JWT) 以编程方式代表用户授权访问 Tableau REST API</li></ul><div><p><b>注意：</b></p><ul><li value="1">在 Tableau Server 版本 2021.4 中，可通过 Tableau REST API 中的<a href="https://help.tableau.com/current/api/rest_api/en-us/REST/rest_api_ref_connected_app.htm" target="_blank">已连接应用方法<span class="sr-only">(链接在新窗口中打开)</span></a>使用无 UI 的已连接应用功能。</li><li value="2">若要通过已连接应用启用嵌入，必须将 Tableau Server 配置为对 HTTP 流量使用 SSL。</li><li value="3">如果您连接的应用程序在容器（例如 EC2 实例）中运行，则容器和主机时钟都必须设置为 UTC 才能使会话令牌有效。如果任何一个时钟使用不同的标准，连接的应用软件将不被信任。</li><li value="4">Tableau 已连接应用和 Salesforce 已连接应用不同并且提供不同的功能。如今，Tableau 已连接应用已针对在外部应用程序中嵌入 Tableau 视图和指标进行了优化。</li></ul></div><h2 is="heading-item" :level="2" id="已连接应用的工作方式">已连接应用的工作方式</h2><p>您的 <span class="VariablesProductName">Tableau Server</span> 站点和外部应用程序之间的信任关系是通过 JSON 网络令牌 (JWT) 标准中的身份验证令牌建立和验证的，该令牌使用由 Tableau 已连接应用提供并由您的自定义应用程序签名的共享密文。</p><h3 is="heading-item" :level="3" id="已连接应用的关键组件">已连接应用的关键组件</h3><p>已连接应用的以下组件与外部应用程序中的 JWT 一起工作，以验证用户身份并显示嵌入的内容。</p><ul><li value="1"><b>密文：</b>密文是 Tableau 和您的外部应用程序共享的密钥。它们在形成 JWT 的签名中使用。使用已连接应用进行嵌入身份验证时需要密文。密文可以在已连接应用中创建，不会过期，并且在删除之前一直有效。</li><li value="2"><b>域允许列表：</b>您可以在每个已连接应用中指定允许的域的列表。通过已连接应用嵌入的 Tableau 内容仅允许在指定的域下使用。这有助于确保内容在您的企业保护和批准的域下公开。</li><li value="3"><b>访问级别：</b>您可以通过将已连接应用与一个项目或所有项目相关联来指定可通过已连接应用嵌入哪些内容。如果指定一个项目，则只能通过已连接应用嵌入所选项目中的内容。</li></ul><h3 is="heading-item" :level="3" id="已连接应用工作流程">已连接应用工作流程</h3><p>下图说明了外部应用程序（Web 服务器及网页）和已连接应用之间的身份验证工作方式。</p><p><img src="Img/connectedapp_how.png" alt=""/></p><ol><li value="1"><b>用户访问网页：</b>当用户访问网页上的嵌入内容时，网页会向您的外部应用程序发送 GET 请求以检索该网页上的 HTML。</li><li value="2"><b>外部应用程序构建身份验证令牌：</b>外部应用程序构建 JWT，其中包含来自已连接应用的密文（有关其他 JWT 要求，请参见下面的“步骤 3”）以及用户对嵌入内容的访问范围。该密文由外部应用程序签名，用于后续步骤中的信任关系验证。</li><li value="3"><b>外部应用程序使用身份验证令牌响应：</b>外部应用程序使用网页调用的嵌入内容 URL 中的 JWT 响应页面。</li><li value="4"><b>网页从 Tableau 请求内容</b>：尝试加载嵌入内容时，网页调用嵌入内容的 URL，后者向 Tableau 发送 GET 请求。</li><li value="5"><b>Tableau 验证令牌：</b> Tableau 接收 JWT 并通过识别 JWT 中使用的已连接应用和共享密文来验证与外部应用程序的信任关系。然后 Tableau 为用户创建一个会话。会话不仅遵守 JWT 中定义的嵌入范围，还遵守已连接应用中指定的限制，包括允许的域和允许的项目。</li><li value="6"><b>Tableau 根据受限制的嵌入上下文返回内容：</b>嵌入的内容仅在页面位于允许的域下并且内容发布到允许的项目（如果适用）时加载。经过身份验证的用户只能通过 JWT 中定义的范围与嵌入的内容进行交互。</li></ol><h2 is="heading-item" :level="2" id="创建已连接应用">创建已连接应用</h2><h3 is="heading-item" :level="3" id="步骤-1：创建已连接应用">步骤 1：创建已连接应用</h3><p>从 <span class="VariablesProductName">Tableau Server</span> 的“设置”页面创建已连接应用。</p><ol><li value="1"><p>以服务器管理员或站点管理员身份登录 <span class="VariablesProductName">Tableau Server</span>。</p></li><li value="2"><p>从左侧窗格中，选择“设置”&gt;“已连接应用”，然后单击<span class="uicontrol">“新建已连接应用”</span>按钮。</p></li><li value="3">在“创建已连接应用”对话框中，执行以下操作之一：<ol style="list-style-type: lower-alpha;"><li value="1"><p>对于<i>REST API 授权工作流</i>，在“已连接应用名称”文本框中，输入已连接应用的名称，然后单击<span class="uicontrol">“创建”</span>按钮。</p><p><b>注意：</b>在为已连接应用配置 REST API 授权时，您可以忽略<span class="uicontrol">“访问级别”</span>和<span class="uicontrol">“域允许列表”</span>。</p></li><li value="2"><p>对于<i>嵌入工作流</i>，请执行以下操作：</p><ol style="list-style-type: lower-roman;"><li value="1"><p>在“已连接应用名称”文本框中，输入已连接应用的名称。</p></li><li value="2"><p>从“应用于”下拉菜单中，选择<span class="uicontrol">“所有项目”</span>或<span class="uicontrol">“仅一个项目”</span>来控制可以嵌入哪些视图或指标。如果您选择“仅一个项目”选项，请选择要确定范围的特定项目。有关这两个选项的详细信息，请参见<a href="#projects" class="MCXref xref">访问级别（仅限嵌入工作流）</a>。</p></li><li value="3"><p>在“域允许列表”中，使用下面的<a href="#domain_formatting" class="MCXref xref">域格式设置</a>中描述的规则指定域，以控制可以嵌入视图或指标的位置。</p></li><li value="4"><p>完成后，单击<span class="uicontrol">“创建”</span>按钮。</p><p><img src="Img/connectedapp_create.png" alt=""/></p></li></ol></li></ol></li><li value="4"><p>在已连接应用的名称旁边，单击操作菜单并选择<span class="uicontrol">“启用”</span>。出于安全考虑，已连接应用在创建时默认设置为禁用。</p><p><img src="Img/connectedapp_action_menu.png" alt=""/></p></li><li value="5"><p>记下已连接应用的 ID（也称为客户端 Id），以在下面的“步骤 3”中使用。</p><p><img src="Img/connectedapp_clientid.png" alt=""/></p></li></ol><h3 is="heading-item" :level="3" id="步骤-2：生成密文">步骤 2：生成密文</h3><p>您可以为每个已连接应用生成总共两个密文。第二个密文可用于密文轮换目的，以帮助防止密文泄露时出现问题。</p><ol><li value="1"><p>在您在“步骤 1”中创建的已连接应用的详细信息页面上，单击<span class="uicontrol">“生成新密文”</span>按钮。</p></li><li value="2"><p>记下要在下面的“步骤 3”中使用的密文 ID 和密文值。</p><p><img src="Img/connectedapp_secret.png" alt=""/></p></li></ol><h3 is="heading-item" :level="3" id="步骤-3：配置-jwt"><a name="jwt"/>步骤 3：配置 JWT</h3><p>生成密文后，您希望使外部应用程序能够发送有效的 JWT。JWT 是用于在两方之间安全传输信息的标准。JWT 由您的外部应用程序签名，以安全地将信息发送到 <span class="VariablesProductName">Tableau Server</span>。JWT 引用已连接应用、为其生成会话的用户以及用户应具有的访问级别。</p><p>有效的 JWT 包括以下信息：</p><ul><li value="1">来自“步骤 1”的已连接应用 ID（也称为客户端 ID）</li><li value="2"><p>“步骤 2”中生成的密文 ID 和密文值</p></li><li value="3"><p>注册的声明和标题：</p><table style="width: 90%;mc-table-style: url('Resources/TableStyles/Basic-Border-Light.css');margin-left: 0;margin-right: auto;" class="TableStyle-Basic-Border" cellspacing="0"><colgroup><col class="TableStyle-Basic-Border-Column-Column1" style="width: 126px;"/><col class="TableStyle-Basic-Border-Column-Column1" style="width: 126px;"/><col class="TableStyle-Basic-Border-Column-Column1"/></colgroup><tbody><tr class="TableStyle-Basic-Border-Body-Body1"><td class="TableStyle-Basic-Border-BodyE-Column1-Body1" style="font-weight: bold;">声明</td><td class="TableStyle-Basic-Border-BodyE-Column1-Body1" style="font-weight: bold;">名称</td><td class="TableStyle-Basic-Border-BodyD-Column1-Body1" style="font-weight: bold;">描述或必需值</td></tr><tr class="TableStyle-Basic-Border-Body-Body1"><td class="TableStyle-Basic-Border-BodyE-Column1-Body1">“<code>kid</code>”</td><td class="TableStyle-Basic-Border-BodyE-Column1-Body1">密文 ID</td><td class="TableStyle-Basic-Border-BodyD-Column1-Body1">必需（在标题中）。已连接应用密文 ID。</td></tr><tr class="TableStyle-Basic-Border-Body-Body1"><td class="TableStyle-Basic-Border-BodyE-Column1-Body1">“<code>iss</code>”</td><td class="TableStyle-Basic-Border-BodyE-Column1-Body1">颁发者</td><td class="TableStyle-Basic-Border-BodyD-Column1-Body1">必需（在标题中）。标识受信任的已连接应用及其签名密钥的唯一颁发者 URI。</td></tr><tr class="TableStyle-Basic-Border-Body-Body1"><td class="TableStyle-Basic-Border-BodyE-Column1-Body1">“<code>alg</code>”</td><td class="TableStyle-Basic-Border-BodyE-Column1-Body1">算法</td><td class="TableStyle-Basic-Border-BodyD-Column1-Body1">必需（在标题中）。JWT 签名算法。仅支持 HS256。</td></tr><tr class="TableStyle-Basic-Border-Body-Body1"><td class="TableStyle-Basic-Border-BodyE-Column1-Body1">“<code>sub</code>”</td><td class="TableStyle-Basic-Border-BodyE-Column1-Body1">使用者</td><td class="TableStyle-Basic-Border-BodyD-Column1-Body1">经过身份验证的 <span class="VariablesProductName">Tableau Server</span> 用户的。</td></tr><tr class="TableStyle-Basic-Border-Body-Body1"><td class="TableStyle-Basic-Border-BodyE-Column1-Body1">“<code>aud</code>”</td><td class="TableStyle-Basic-Border-BodyE-Column1-Body1">受众</td><td class="TableStyle-Basic-Border-BodyD-Column1-Body1">值必须是：“<code>tableau</code>”。</td></tr><tr class="TableStyle-Basic-Border-Body-Body1"><td class="TableStyle-Basic-Border-BodyE-Column1-Body1">“<code>exp</code>”</td><td class="TableStyle-Basic-Border-BodyE-Column1-Body1">到期时间</td><td class="TableStyle-Basic-Border-BodyD-Column1-Body1"><p>有效的 JWT 不得过期。JWT 的过期时间必须在配置的最长有效期内。可以使用 tsm<a href="cli_configuration-set_tsm.htm#connectedapps_max_expiration_period" class="MCXref xref">vizportal.oauth.connected_apps.max_expiration_period_in_minutes</a>命令配置最长有效期。</p></td></tr><tr class="TableStyle-Basic-Border-Body-Body1"><td class="TableStyle-Basic-Border-BodyE-Column1-Body1">“<code>jti</code>”</td><td class="TableStyle-Basic-Border-BodyE-Column1-Body1">JWT ID</td><td class="TableStyle-Basic-Border-BodyD-Column1-Body1">要求采用声明形式。JWT ID 声明为 JWT 提供唯一标识符，并且区分大小写。</td></tr><tr class="TableStyle-Basic-Border-Body-Body1"><td class="TableStyle-Basic-Border-BodyB-Column1-Body1">“<code>scp</code>”<p><b style="font-style: normal;">重要：</b>不要使用“<code>scope</code>”。</p></td><td class="TableStyle-Basic-Border-BodyB-Column1-Body1">范围</td><td class="TableStyle-Basic-Border-BodyA-Column1-Body1">对于<i>嵌入工作流</i>，支持的值包括：<p>“<code>tableau:views:embed</code>”<br/>“<code>tableau:views:embed_authoring</code>”（Tableau Server 2022.3 中新增）<br/>“<code>tableau:metrics:embed</code>”</p><p><b>注意：</b></p><ul><li value="1">值必须作为列表类型传递。</li><li value="2">对于 <code>tableau:views:embed</code>，范围遵循已在 <span class="VariablesProductName">Tableau Server</span> 中配置的用户权限，并允许用户与嵌入视图中的工具进行交互（如果在原始视图中可用）。</li><li value="3">我们建议嵌入代码排除工具栏参数。有关详细信息，请参见下面的<a href="#known_issues" class="MCXref xref">已知问题（仅限嵌入工作流）</a>。</li></ul><p>对于 <i>REST API 授权工作流</i>，请参见<a href="connected_apps_scopes.htm#scopes" class="MCXref xref">支持 JWT 授权的 REST API 方法</a>。</p></td></tr></tbody></table></li></ul><h4>示例 JWT</h4><p>以下是 Java 和 Python 语言的示例 JWT。Java 和 Python 示例分别使用 nimbus-jose-jwt 库和 PyJWT 库。</p><p><b>Java</b></p><pre xml:space="preserve">&#13; import com.nimbusds.jose.*;&#13; import com.nimbusds.jose.crypto.*;&#13; import com.nimbusds.jwt.*;&#13; import java.util.*;&#13; String secret = "secretvalue";&#13; String kid = "connectedAppSecretId";&#13; String clientId = "connectedAppClientId";&#13; List&lt;String&gt; scopes = new&#13; ArrayList&lt;&gt;(Arrays.asList("tableau:views:embed"));&#13; String username = "username";&#13; JWSSigner signer = new MACSigner(secret);&#13; JWSHeader header = new&#13; JWSHeader.Builder(JWSAlgorithm.HS256).keyID(kid).customParam("iss", clientId).build();&#13; JWTClaimsSet claimsSet = new JWTClaimsSet.Builder()&#13; .issuer(clientId)&#13; .expirationTime(new Date(new Date().getTime() + 60 * 1000)) //expires in 1 minute&#13; .jwtID(UUID.randomUUID().toString())&#13; .audience("tableau")&#13; .subject(username)&#13; .claim("scp", scopes)&#13; .build();&#13; SignedJWT signedJWT = new SignedJWT(header, claimsSet);&#13; signedJWT.sign(signer);&#13; model.addAttribute("token", signedJWT.serialize());</pre><p><b>Python</b></p><pre xml:space="preserve">&#13; import jwt&#13; token = jwt.encode(&#13; "iss": connectedAppClientId,&#13; "exp": datetime.datetime.utcnow() + datetime.timedelta(minutes=5),&#13; "jti": str(uuid.uuid4()),&#13; "aud": "tableau",&#13; "sub": user,&#13; "scp": ["tableau:views:embed", "tableau:metrics:embed"]&#13; connectedAppSecretKey,&#13; algorithm = "HS256",&#13; headers = {&#13;