--- schema_version: "1" id: 162f94696ed0a1d168354cc270d1d4ea68659a6bca4614500d120f40fbbb2e6c title: Tableau Cloud 的 SAML 要求 collection: tableau version: current locale: zh-cn portal_url: https://docs.salesforce.com/tableau/current/zh-cn/online/saml_online_requ.md canonical_url: https://help.tableau.com/current/online/zh-cn/saml_online_requ.htm source_site: help.tableau.com content_type: documentation content_hash: 1e7c25bb642359af4ef2faf20afa5287fd2f1e1916508619ae38b18434298c0f description: Review the SAML requirements for Tableau Cloud and TCM. --- [跳转到主要内容](#main-content) # Tableau Cloud 的 SAML 要求 在为 Tableau Cloud 或 Tableau Cloud Manager (TCM) 配置 SAML 之前，请获取满足相关要求所需的内容。 - [Tableau 配置的身份提供程序 (IdP) 要求](#idp-reqs) - [SAML 兼容性注意事项和要求](#compatibility-notes) - [在 Tableau 客户端应用程序中使用 SAML SSO](#saml-sso-tableau-client) - [更改身份验证类型对 Tableau Bridge 的影响](#bridge-consequences) - [XML 数据要求](#xml-data-reqs) **注意：**需要单独的设置和应用程序集成才能为 Tableau Cloud 和 TCM 启用 SAML 身份验证。 ## Tableau 配置的身份提供程序 (IdP) 要求 若要将 Tableau Cloud 或 TCM 配置为使用 SAML，您需要以下内容： - **已启用使用 MFA 的 SSO。**自 2022 年 2 月起，Tableau 要求通过 SAML SSO 身份提供程序 (IdP) 进行多重身份验证 (MFA)。 > [!WARNING] > > **重要信息：**除了这些要求之外，我们建议您专门指定一个始终为 [带 MFA 的 TableauID](https://help.tableau.com/current/online/zh-cn/to_security_mfa.htm) 配置的站点管理员帐户。如果 SAML 或 IdP 出现问题，专用的带 MFA 的 Tableau 帐户可确保您始终能够访问站点。 - Tableau Cloud 站点或租户的管理员访问权限。在想要启用 SAML 的站点或租户上，您必须具有 Tableau Cloud 站点的管理员访问权限。 - 将使用 SSO 来访问 Tableau Cloud 或 TCM 的用户的列表。您应收集想要为其授予 Tableau 单点登录 (SSO) 访问权限的用户的用户名（电子邮件格式）。 - 支持 SAML 2.0 的 IdP 帐户。 您需要一个外部身份提供程序帐户。一些示例包括 PingFederate、SiteMinder 和 Open AM。IdP 必须支持 SAML 2.0。您必须具有该帐户的管理员访问权限。 - SHA256 用作签名算法。自 2020 年 5 月起，Tableau 会阻止使用 SHA-1 算法签名的 IdP 断言和证书。 - 支持导入和导出 XML 元数据的 IdP 提供程序。 尽管手动创建的元数据文件可以工作，但 Tableau 技术支持无法协助进行生成该文件或排除其问题。 - 强制将最大令牌期限设置为 24 天或更少（2073600 秒）的 IdP 提供程序。如果 IdP 允许令牌的最大期限大于 Tableau Cloud 上的最大期限设置（2073600 秒），则 Tableau 不会将令牌识别为有效令牌。在这种情况下，用户将在尝试登录到 Tableau Cloud 或 TCM 时收到错误消息（_The sign-in was unsuccessful.Try again_.（登录未成功，请重试。）。 ## SAML 兼容性注意事项和要求 - SP 或 IdP 已启动： Tableau 支持在身份提供程序 (IdP) 或服务提供程序 (SP) 处开始的 SAML 身份验证。 - **单点注销 (SLO)**：Tableau 支持服务提供商 (SP) 发起的 SLO 和身份提供程序 (IdP) 发起的 SLO。 **注意：**若要获取站点或租户的 SLO URL，请下载并参考您的 Tableau Cloud 站点或租户生成的元数据 XML 文件。可通过转到以下位置_之一_来查找此文件。 - 在 Tableau Cloud 中，请转到“设置”\>“身份验证”\>“新配置”或者“编辑配置”。 - 在 TCM 中，请转到“设置”\>“身份验证”。 - tabcmd 和 REST API：若要使用 [tabcmd](https://help.tableau.com/current/online/zh-cn/tabcmd.htm) 或 [TableauREST API](https://help.tableau.com/current/api/rest_api/en-us/help.htm "在新选项卡中打开 REST API 帮助。")，用户必须使用个人访问令牌 (PAT) 登录到 Tableau Cloud。若要使用 [Tableau Cloud Manager REST API](https://help.tableau.com/current/api/cloud-manager/zh-cn/reference/index.html "在新选项卡中打开 TCM REST API 帮助。")，用户必须使用个人访问令牌 (PAT) 登录到 TCM。 - 加密断言：Tableau 支持明文或加密断言。 - **需要重新配置 Tableau Bridge ：**Tableau Bridge 支持 SAML 身份验证，但身份验证更改需要重新配置 Bridge 客户端。有关信息，请参见[更改身份验证类型对 Tableau Bridge 的影响](#bridge-consequences)。 - **必需的签名算法**：对于所有新的 SAML 证书，Tableau Cloud 或 TCM 需要 SHA256（或更高）的签名算法。 - **RSA 密钥和 ECDSA 曲线大小：**IdP 证书的 RSA 密钥强度必须为 2048，ECDSA 曲线大小为 256。 - **NameID 属性**：Tableau 需要 SAML 响应中的 NameID 属性。 - **自定义域：**如果您为 Tableau Cloud 站点配置[将自定义域与 Tableau Cloud 配合使用](https://help.tableau.com/current/online/zh-cn/custom_domain.htm)，则必须更新 IDP 应用程序设置中的 Tableau Cloud 实体 ID 和 ACS URL 以反映自定义域。举例来说，如果您的自定义域是 `analytics.example.com`，请更新这些 URL 以使用该域，而不是默认的 Tableau Cloud URL。 ## 在 Tableau 客户端应用程序中使用 SAML SSO **注意：**仅适用于 Tableau Cloud。 Tableau Cloud 用户（具有 SAML 凭据）也可以从 Tableau Desktop 或 Tableau Mobile 应用中登录到其站点。为了实现最佳兼容性，我们建议 Tableau 客户端应用程序的版本与 Tableau Cloud 的版本匹配。 从 Tableau Desktop 或 Tableau Mobile 连接到 Tableau Cloud 时，将使用服务提供程序发起的连接。 ### 将经过身份验证的用户重定向回 Tableau 客户端 用户登录到 Tableau Cloud 时（使用 SP 发起的工作流），Tableau Cloud 会向 IdP 发送一个 SAML 请求 (`AuthnRequest`)，其中包括 Tableau 应用程序的 **RelayState** 值。如果用户已通过诸如 Tableau Desktop 或 Tableau Mobile 等 Tableau 客户端登录到 Tableau Cloud，则务必在 IdP 对 Tableau 的 SAML 响应内返回 RelayState 值，以将用户定向到特定的 Tableau 资源。 当用户直接从 IdP（使用 IdP 发起的工作流） 启动 Tableau Cloud 登录过程时，IdP 可以在 SAML 响应中包括 **RelayState** 值，以将用户定向到特定的 Tableau 资源。例如，RelayState 值可以设置为 `/#/site/[site-url]/views/[view-name]/[workbook-tab-name]`。 如果在这些情形下未正确返回 RelayState 值，则会在 Web 浏览器中将用户转向其 Tableau Cloud 主页，而不是重定向回他们从中登录的应用程序。 与身份提供商和内部 IT 团队合作，确认此值将包括在 IdP 的 SAML 响应内 之间的任何网络设备（例如代理或负载平衡器）保留。 ### 更改身份验证类型对 Tableau Bridge 的影响 当您更改站点的身份验证类型或修改 IdP 时，为计划的数据提取刷新使用 Tableau Bridge 的发布者将需要取消链接和重新链接客户端，并使用新方法或 IdP 配置重新进行身份验证。 对于旧版计划，取消链接 Bridge 客户端会移除所有数据源，因此您必须重新设置刷新计划。对于 Online 计划，在重新链接客户端后，您必须重新配置 Bridge 客户端池。 身份验证类型的更改不会影响直接从 Tableau Cloud 站点中运行的 Bridge 实时查询或刷新（比如对于云中的基础数据就是如此）。 我们建议在对用户的站点身份验证进行更改之前将相关更改通知用户。否则，只有当用户从 Bridge 客户端中收到身份验证错误或者客户端打开时包含空白数据源区域时，他们才会意识到更改。 ## XML 数据要求 可以使用 Tableau Cloud 或 TCM 和 IdP 生成的元数据 XML 文档来配置 SAML。在身份验证过程中，IdP 和 Tableau 使用这些 XML 文档来交换身份验证信息。如果 XML 未满足这些要求，则在您配置 SAML 或在用户尝试登录时会发生错误。 ### HTTP POST 和 HTTP REDIRECT Tableau Cloud 或 TCM 支持 SAML 通信的 HTTP POST 和 REDIRECT 请求。在由 IdP 导出的 SAML 元数据 XML 文档中，`Binding` 属性可以设置为： - HTTP-POST - HTTP-REDIRECT - HTTP-POST-SimpleSign ### 使用 SAML 断言的动态群组成员身份 **注意：**仅适用于 Tableau Cloud。 从 2024 年 6 月 (Tableau 2024.2) 开始，如果配置了 SAML 并启用功能的设置，您可以通过身份提供商 (IdP) 发送的 SAML XML 响应中包含的自定义声明来动态控制群组成员身份。 配置后，在用户身份验证期间，IdP 会发送包含两个自定义组成员身份声明的 SAML 断言：组 (`https://tableau.com/groups` ) 和组名（例如，“Group1”和“Group2”）来将用户声明到其中。Tableau 验证该断言，然后启用对组以及权限依赖于这些组的内容的访问权限。 有关详细信息，请参见[使用断言的动态组成员身份](https://help.tableau.com/current/online/zh-cn/to_add_users_groups.htm#assertions) 。 **SAML XML 响应示例** Group1 Group2 ### SAML 断言中的用户属性 **注意：**仅适用于 Tableau Cloud。 从 2025 年 10 月 (Tableau 2025.3) 开始，在配置并启用功能的设置后，您可以在登录期间将身份提供程序 (IdP) 发送的 SAML XML 响应中的用户属性断言传递到 Tableau Cloud。这些用户属性可与 Tableau 的用户属性函数 (`USERATTRIBUTE()`, `USERATTRIBUTEINCLUDES()`) 结合使用，动态控制和自定义内容。Tableau 验证该断言，然后启用对内容的访问。 有关详细信息，请参见[使用用户属性自定义和控制数据访问](https://help.tableau.com/current/online/zh-cn/saml_config_site.htm#user_attributes)。 **SAML XML 响应示例** South South West