--- schema_version: "1" id: a622abbdd669eec16db2d33a0e85bc578549155ecdb77bc3aa73c11cd1c99e75 title: 将加密通道配置为 LDAP 外部身份存储 collection: tableau version: current locale: zh-cn portal_url: https://docs.salesforce.com/tableau/current/zh-cn/server/config_encrypt_ldap.md canonical_url: https://help.tableau.com/current/server/zh-cn/config_encrypt_ldap.htm source_site: help.tableau.com content_type: documentation content_hash: 7d0ce383e27a7acbb00275f82557bee567d598b1338cb6878669def6b8dab69f description: Configure an encrypted LDAPS channel between Tableau Server and an external LDAP identity store. --- [跳转到主要内容](#main-content) # 将加密通道配置为 LDAP 外部身份存储 配置为连接到外部 LDAP 身份存储的 Tableau Server 必须查询 LDAP 目录并建立会话。建立会话的过程称为_绑定_。有多种绑定方式。Tableau Server 支持两种绑定到 LDAP 目录的方法： - 简单绑定：通过使用用户名和密码进行身份验证来建立会话。默认情况下，使用简单绑定的 LDAP 未加密。如果使用简单绑定来配置 LDAP，我们强烈建议您启用 LDAP over SSL/TLS。 - **GSSAPI 绑定：**GSSAPI 使用 Kerberos 进行身份验证。当使用密钥表文件配置时，在 GSSAPI 绑定期间身份验证是安全的。但是，不会对进入 LDAP 服务器的后续流量进行加密。我们建议配置 LDAP over SSL/TLS。 如果在已加入 Active Directory 域的计算机上运行 Windows 版 Tableau Server，则您无需配置 GSAPI。Tableau Server GUI 设置将检测和配置使用 Kerberos 的 Active Directory 连接。请参见[配置初始节点设置](https://help.tableau.com/current/server/zh-cn/config_general.htm)。对于 Active Directory 通信，请不要使用简单绑定运行 LDAP。 本主题介绍了如何为 Tableau Server 和 LDAP 目录服务器之间的通信加密简单的 LDAP 绑定通道。 ## 证书要求 - 您必须具有可用于加密的有效 PEM 编码 x509 SSL/TLS 证书。证书文件的扩展名必须为 .crt。 - 不支持自签名证书。 - 您安装的证书必须在用于 SSL/TLS 的密钥用法字段中包括 `Key Encipherment`。Tableau Server 将仅使用此证书来加密到 LDAP 服务器的通道。不会验证过期、信任、CRL 和其他属性。 - 如果在分布式部署中运行 Tableau Server，则必须将 SSL 证书手动复制到群集中的每个节点。仅将证书复制到配置了 Tableau Server 应用程序服务器进程的那些节点。与群集环境中的其他共享文件不同，客户端文件服务不会自动分发用于 LDAP 的 SSL 证书。 - 如果您使用的是 PKI 或非第 3 方证书，请将 CA 根证书上载到 Java 信任存储。 ### 将证书导入 Tableau 密钥存储 如果您的计算机上还没有针对 LDAP 服务器配置的证书，则您必须获取适用于 LDAP 服务器的 SSL 证书，并将其导入默认系统密钥存储。 使用“keytool”Java 工具来导入证书。在默认安装中，此工具随 Tableau Server 一起安装，位于 `C:\Program Files\Tableau\Tableau Server\packages\repository.\jre\bin\keytool.exe`。 以管理员身份运行以下命令以导入证书（您必须针对您的环境替换 ``）： `"C:\Program Files\Tableau\Tableau Server\packages\repository.\jre\bin\keytool.exe" -importcert -file "C:\Program Files\Tableau\Tableau Server\.crt" -alias "" -keystore "C:\ProgramData\Tableau\Tableau Server\tableauservicesmanagerca.jks" -storepass changeit -noprompt` Java 密钥存储的密码为 `changeit`。（不要更改 Java 密钥存储的密码）。 ## LDAPS 加密方法 Tableau Server 支持使用 LDAPS 对简单绑定 LDAP 通道进行加密。 安全 LDAP（或 LDAPS）是需要配置的标准加密通道。具体而言，除了 Tableau Server 上的 TLS 证书外，还必须为目标 LDAP 服务器设置主机名和安全 LDAP 端口。 ## 为简单绑定配置加密通道 如果您的组织使用 Active Directory 以外的 LDAP 目录，请按照此处的过程为 LDAP 简单绑定配置加密通道。 本节介绍如何将 Tableau Server 配置为对 LDAP 简单绑定使用加密通道。 ### 何时配置 您必须将 Tableau Server 配置为在 Tableau Server 初始化之前或作为配置初始节点的一部分使用 LDAP 简单绑定的加密通道，如[配置初始节点设置](https://help.tableau.com/current/server/zh-cn/config_general.htm)中的“使用 TSM CLI”选项卡中所述。 ### 对于 Tableau Server 的新安装 如果您的组织使用 Active Directory 以外的 LDAP 目录，则无法使用 TSM GUI 安装程序将身份存储配置为 Tableau Server 安装的一部分。相反，您必须使用 JSON 实体文件来配置 LDAP 身份存储。请参见[identityStore 实体](https://help.tableau.com/current/server/zh-cn/entity_identity_store.htm)。 在配置 identityStore 实体之前，请将有效的 SSL/TLS 证书导入 Tableau 密钥存储，如本主题前面所述。 配置 LDAPS 需要在 identityStore JSON 文件中设置 hostname 和 sslPort 选项。