--- schema_version: "1" id: bbb7e34b1d05ef908b4f7d3cfade47ad63852089caf93252751187de6b0c6311 title: 身份验证 collection: tableau version: current locale: zh-cn portal_url: https://docs.salesforce.com/tableau/current/zh-cn/server-linux/security_auth.md canonical_url: https://help.tableau.com/current/server-linux/zh-cn/security_auth.htm source_site: help.tableau.com content_type: documentation content_hash: 14c6936bc91cc217cc79f622c3d698c95f9335d8a91c251a277e7f07237eeac2 description: Understand authentication options for signing in to Tableau Cloud. --- [跳转到主要内容](#main-content) # 身份验证身份验证将验证用户的身份。需要访问 Tableau 的任何人（无论是管理服务器，还是发布、浏览或管理内容）都必须表示为 Tableau Server 存储库中的用户。身份验证方法可由 Tableau Server 来执行（“本地身份验证”），或者可以由外部进程执行身份验证。在后一种情况下，您必须为外部身份验证技术（例如 Kerberos、、SAML 或 OpenID）配置 Tableau Server。在所有情况下，无论是在本地还是在外部进行身份验证，都必须在 Tableau Server 存储库中表示每个用户身份。存储库管理用户身份的授权元数据。期望使用 Windows 版 Tableau Server？请参见[身份验证](https://help.tableau.com/current/server/zh-cn/security_auth.htm "在新浏览器选项卡中打开主题")。尽管所有用户身份最终都会表示并存储在 Tableau Server 存储库中，但您必须在身份存储中管理 Tableau Server 的用户帐户。有两种相互排斥的身份存储选项：LDAP 和本地。Tableau Server 支持任意 LDAP 目录，但它已针对 Active Directory LDAP 实施进行了优化。或者，如果您未运行 LDAP 目录，则可以使用 Tableau Server 本地身份存储。有关详细信息，请参见[身份存储](https://help.tableau.com/current/server-linux/zh-cn/plan_identity_store.htm)。如下表中所示，您实施的身份存储的类型将在某种程度上确定您的身份验证选项。

身份存储	身份验证机制
身份存储	基本	SAML	站点 SAML	Kerberos	（仅限 Windows）自动登录 (Microsoft SSPI)	OpenID 连接	已连接应用	受信任的身份验证	相互 SSL
本地	X	X	X			X	X	X	X
Active Directory	X	X		X	X		X	X	X
LDAP	X	X					X	X	X

访问和管理权限通过站点角色来实现。站点角色定义哪些用户是管理员，以及哪些用户是服务器上的内容使用者和发布者。有关管理员、站点角色、组、来宾用户以及用户相关的管理任务的详细信息，请参阅[“用户”](https://help.tableau.com/current/server-linux/zh-cn/users.htm)以及[“用户的站点角色”](https://help.tableau.com/current/server-linux/zh-cn/users_site_roles.htm)。 **注意**：在身份验证上下文中，一定要知道用户无权通过在服务器上获得帐户从而经 Tableau Server 访问外部数据源。换句话说，在默认配置中，Tableau Server 不作为外部数据源的代理。此类访问需要在 Tableau Server 上额外配置数据源，或者在用户从 Tableau Desktop 连接时在数据源中进行身份验证。 ## 加载项身份验证兼容性某些身份验证方法可一起使用。下表显示了可结合使用的身份验证方法。标有“X”的单元格指明兼容的身份验证集合。空白单元格指明不兼容的身份验证集合。

	已连接应用	受信任的身份验证	服务器范围 SAML	站点 SAML	Kerberos	（仅限 Windows）自动登录 (Microsoft SSPI)	相互 SSL	OpenID Connect
Tableau 已连接应用	不可用		X	X	X		X	X
受信任的身份验证		不可用	X	X	X		X	X
服务器范围 SAML	X	X	不可用	X
站点 SAML	X	X	X	不可用
Kerberos	X	X			不可用
自动登录（Microsoft SSPI）						不可用
相互 SSL	X	X					不可用
OpenID Connect	X	X						不可用
个人访问令牌 (PAT)	*	*	*	*	*	*	*	*

**\***根据设计，PAT 不直接使用这些列中列出的身份验证机制来对 REST API 进行身份验证。相反，PAT 使用 Tableau Server 用户帐户凭据对 REST API 进行身份验证。 ## 客户端身份验证兼容性 ### 通过用户界面 (UI) 处理的身份验证

客户端	身份验证机制
客户端	基本	SAML	站点 SAML	Kerberos	（仅限 Windows）自动登录 (Microsoft SSPI)	OpenID 连接	已连接应用	受信任的身份验证	相互 SSL	个人访问令牌 (PAT)
Tableau Desktop	X	X	X	X	X	X			X
Tableau Prep Builder	X	X	X	X	X	X			X
Tableau Mobile	X	X	X	X （仅限 iOS*）	X **	X			X
Web 浏览器	X	X	X	X	X	X	X *******	X	X

**\*** Android 不支持 Kerberos SSO，但可以回退为使用用户名和密码。有关详细信息，请参见[注释 5：Android 平台](https://help.tableau.com/current/server-linux/zh-cn/kerberos_browser.htm#note5)。 **\*\*** SSPI 与 Tableau Mobile 应用软件的 Workspace ONE 版本不兼容。 **\*\*\*** 仅在嵌入工作流程中。 ### 以编程方式处理的身份验证

客户端	身份验证机制
客户端	基本	SAML	站点 SAML	Kerberos	（仅限 Windows）自动登录 (Microsoft SSPI)	OpenID 连接	已连接应用	受信任的身份验证	相互 SSL	个人访问令牌 (PAT)
REST API	X						X			X
tabcmd 2.0	X									X
tabcmd	X

## 本地身份验证如果将服务器配置为使用本地身份验证，则 Tableau Server 将对用户进行身份验证。当用户登录并输入其凭据时，Tableau Server 将通过 Tableau Desktop、tabcmd、API 或 Web 客户端来验证凭据。若要启用此方案，必须首先为每个用户创建标识。若要创建标识，您可以指定用户名和密码。若要访问服务器上的内容或者与其进行交互，还必须为用户分配站点角色。可使用 [tabcmd 命令](https://help.tableau.com/current/server-linux/zh-cn/tabcmd_cmd.htm)或使用 [REST API](https://help.tableau.com/current/api/rest_api/en-us/help.htm#REST/rest_api.htm) 在服务器 UI 中将用户标识添加到 Tableau Server。您还可以在 Tableau Server 中创建组，以帮助管理以及将角色分配给大批相关用户组（例如，“市场营销”）。为本地身份验证配置 Tableau Server 时，您可以针对失败的密码尝试设置密码策略和帐户锁定。请参见[本地身份验证](https://help.tableau.com/current/server-linux/zh-cn/local_auth.htm)。 **注意：**具有多重 (MFA) 身份验证的 Tableau 仅适用于 Tableau Cloud。 ## 外部身份验证解决方案可以将 Tableau Server 配置为使用许多外部身份验证解决方案。 ### Kerberos 针对 Active Directory，您可以将 Tableau Server 配置为使用 Kerberos。请参见[Kerberos](https://help.tableau.com/current/server-linux/zh-cn/kerberos.htm)。 ### SAML 您可以将 Tableau Server 配置为使用 SAML（安全断言标记语言）身份验证。利用 SAML，外部身份提供程序 (IdP) 验证用户的凭据，然后将一个安全断言发送到 Tableau Server，该安全断言提供有关用户标识的信息。有关详细信息，请参见[SAML](https://help.tableau.com/current/server-linux/zh-cn/saml.htm)。 ### OpenID Connect OpenID Connect (OIDC) 是一种标准身份验证协议，它使用户能够登录到诸如 Google 等身份提供程序 (IdP)。用户成功登录到其 IdP 后，将会自动登录到 Tableau Server。若要在 Tableau Server 上使用 OIDC，必须将服务器配置为使用本地身份存储。Active Directory 或 LDAP 身份存储不支持与 OIDC 一起使用。有关详细信息，请参见[OpenID Connect](https://help.tableau.com/current/server-linux/zh-cn/openid_auth.htm)。 ### 相互 SSL 使用相互 SSL，您可以为 Tableau Desktop，Tableau Mobile 其他批准的 Tableau 客户端的用户提供直接、安全的 Tableau Server 访问体验。借助相互 SSL，当具有有效 SSL 证书的客户端连接到 Tableau Server 时，将确认存在客户端证书，并基于客户端证书中的用户名对用户进行身份验证。如果客户端没有有效的 SSL 证书，则 Tableau Server 会拒绝连接。有关详细信息，请参见[配置相互 SSL 身份验证](https://help.tableau.com/current/server-linux/zh-cn/ssl_config_mutual.htm)。 ### 已连接应用 #### 直接信任 Tableau 已连接应用通过促进您的 Tableau Server 站点与嵌入 Tableau 内容的自定义应用程序之间建立明确的信任关系，实现无缝且安全的身份验证体验。使用已连接应用还支持以编程方式授权使用 JSON Web 令牌 (JWT) 访问 Tableau REST API。有关详细信息，请参见[使用 Tableau 已连接应用进行应用程序集成](https://help.tableau.com/current/server-linux/zh-cn/connected_apps.htm)。 #### EAS 或 OAuth 2.0 信任您可以使用 OAuth 2.0 标准协议向 Tableau Server 注册外部授权服务器 (EAS)，以在 Tableau Server 和 EAS 之间建立信任关系。信任关系通过您的 IdP 为您的用户提供到嵌入式 Tableau 内容的单点登录体验。此外，注册 EAS 支持以编程方式使用 JSON Web 令牌 (JWT) 授权对 Tableau REST API 的访问。有关详细信息，请参见[使用 OAuth 2.0 信任配置已连接应用](https://help.tableau.com/current/server-linux/zh-cn/connected_apps_eas.htm)。 ### 受信任的身份验证受信任的身份验证（也称为“受信任票证”）使您能在 Tableau Server 与一个或多个 Web 服务器之间建立受信任的关系。当 Tableau Server 收到来自受信任 Web 服务器的请求时，它会假设该 Web 服务器已处理必要的身份验证。Tableau Server 接收带有可兑现令牌或票证的请求，并向用户显示考虑进用户的角色与权限的个性化视图。有关详细信息，请参见[受信任的身份验证](https://help.tableau.com/current/server-linux/zh-cn/trusted_auth.htm)。 ### LDAP 您也可以将 Tableau Server 配置为使用 LDAP 进行用户身份验证。用户通过将其凭据提交到 Tableau Server 来进行身份验证，后者随后将尝试使用用户凭据绑定到 LDAP 实例。如果绑定成功，则凭据有效，并且 Tableau Server 将为用户授予一个会话。 “绑定”是指客户端尝试访问 LDAP 服务器时发生的握手/身份验证步骤。Tableau Server 会在进行各种非身份验证相关查询（例如导入用户和组）时自行执行此操作。您可以配置希望 Tableau Server 在验证用户凭据时使用的绑定类型。Tableau Server 支持 GSSAPI 和简单绑定。简单绑定会将凭据直接传递至 LDAP 实例。我们建议您配置 SSL 以便对绑定通信进行加密。此方案中的身份验证可通过原生 LDAP 解决方案或使用外部进程（如 SAML）提供。有关规划和配置 LDAP 的详细信息，请参见[身份存储](https://help.tableau.com/current/server-linux/zh-cn/plan_identity_store.htm#plan)和[外部身份识存储配置参考](https://help.tableau.com/current/server-linux/zh-cn/ldap_config.htm)。 ### SCIM Tableau Server 中的跨域身份管理 (SCIM) 系统是一种标准，用于自动预置和管理来自基于云的外部身份提供程序 (IdP) 的用户和组。尽管 SCIM 不是一种身份验证方法，但它会预置用户，然后用户使用为您的 Tableau Server 配置的方法进行身份验证。有关详细信息，请参见[SCIM](https://help.tableau.com/current/server-linux/zh-cn/scim_config_online.htm)。 ## 其他身份验证方案 - REST API：[登录和注销（身份验证）](https://help.tableau.com/current/api/rest_api/en-us/help.htm#REST/rest_api_concepts_auth.htm) **注意：**REST API 不支持 SAML 单点登录 (SSO)。 - 移动设备身份验证：[Tableau Mobile 单点登录](https://help.tableau.com/current/mobile/mobile-admin/zh-cn/admin_mobile_sso.htm) - TSM 客户端的证书信任：[连接 TSM 客户端](https://help.tableau.com/current/server-linux/zh-cn/tsm_overview.htm#Connecti) - 用于 TSM 管理的 PAM 集成：[TSM 身份验证](https://help.tableau.com/current/server-linux/zh-cn/tsm_overview.htm#Authenti) ## 数据访问和来源身份验证您可以将 Tableau Server 配置为支持多种不同的身份验证协议以适应各种不同的数据源。数据连接身份验证可能独立于 Tableau Server 身份验证。例如，您可以配置为使用本地身份验证向 Tableau Server 进行用户身份验证，同时对特定数据源配置 OAuth 或 SAML 身份验证。请参见[数据连接身份验证](https://help.tableau.com/current/server-linux/zh-cn/security_data_connection_auth.htm)。 ## 此部分中的其他文章