--- schema_version: "1" id: f095fa0c54ff63a41abfd1e69862cbade7a42ba9338b2a3addd5fadf1b08064d title: 設定到 LDAP 外部身分存放區的加密通道 collection: tableau version: current locale: zh-tw portal_url: https://docs.salesforce.com/tableau/current/zh-tw/server-linux/config_encrypt_ldap.md canonical_url: https://help.tableau.com/current/server-linux/zh-tw/config_encrypt_ldap.htm source_site: help.tableau.com content_type: documentation content_hash: 5458826fe5479876c9c50e688d29037a26277d95677f94d43442b22d8f7617e1 description: Configure an encrypted LDAPS channel between Tableau Server and an external LDAP identity store. --- [跳至主要內容](#main-content) # 設定到 LDAP 外部身分存放區的加密通道 設定為連線到外部 LDAP 身分存放區的 Tableau Server 必須查詢 LDAP 目錄，並建立工作階段。建立工作階段的流程稱為_繫結_。有多種繫結方式。Tableau Server 支援兩種繫結到 LDAP 目錄的方法： - 簡單繫結：透過使用使用者名稱和密碼進行驗證來建立工作階段。預設情況下，Tableau Server 會在連線到 Windows Active Directory 時嘗試使用 StartTLS 加密工作階段。若 Tableau Server 具有有效的 TLS 憑證，則工作階段將被加密。否則，不會對具有簡單繫結的 LDAP 進行加密。若使用簡單繫結設定 LDAP，我們強烈建議您透過 SSL/TLS 啟用 LDAP。 - **GSSAPIbind：**GSSAPI 使用 Kerberos 進行驗證。已設定 keytab 檔案時，驗證在 GSSAPI 繫結期間是安全的。但是，到 LDAP 伺服器的後續流量未加密。我們建議透過 SSL/TLS 設定 LDAP。**重要資訊：**與 Active Directory 的 GSSAPI 繫結不支援 StartTLS。 若在已聯結到 Active Directory 網域的電腦上執行 Linux 版 Tableau Server，則可以設定 GSSAPI。請參閱[LDAP 與 GSSAPI (Kerberos) 繫結](https://help.tableau.com/current/server-linux/zh-tw/plan_identity_store.htm#gssapi)。 本主題會介紹如何對 Tableau Server 和 LDAP 目錄伺服器之間的通訊加密簡單 LDAP 繫結的通道。 ## 憑證要求 - 必須具有可用於加密的有效 PEM 編碼 x509 SSL/TLS 憑證。憑證檔案的副檔名必須為 .crt。 - 不支援自我簽署憑證。 - 安裝的憑證必須在用於 SSL/TLS 的金鑰使用欄位中包括 `Key Encipherment`。Tableau Server 會僅使用此憑證加密到 LDAP 伺服器的通道，但不會驗證到期、信任、CRL 和其他屬性。 - 若在分散式部署中執行 Tableau Server，則必須將 SSL 憑證手動複製到叢集中的每個節點。僅將憑證複製到已設定 Tableau Server 應用程式伺服器程序所在的節點即可。與叢集環境中其他共用檔案不同的是，Client File Service 不會自動散佈用於 LDAP 的 SSL 憑證。 - 若使用的是 PKI 或非協力廠商憑證，請將 CA 根憑證上傳到 Java 信任存放區。 ### 將憑證匯入 Tableau Keystore 若電腦上還沒有針對 LDAP 伺服器設定的憑證，則必須取得適用於 LDAP 伺服器的 SSL 憑證，並將其匯入 Tableau 系統 Keystore。 使用 \[keytool\] Java 工具來匯入憑證。預設安裝中，此工具會隨 Tableau Server 一起安裝至以下位置： `/opt/tableau/tableau_server/packages/repository./jre/bin/keytool`。 以下命令匯入憑證： `sudo "/packages/repository*/jre/bin/keytool -importcert -file "" -alias "" -keystore /etc/opt/tableau/tableau_server/tableauservicesmanagerca.jks -storepass changeit -noprompt` Java Keystore 的密碼為 `changeit`。（請勿變更 Java Keystore 的密碼）。 ## 加密方法 Tableau Server 2021.1 及更高版本支援兩種加密簡單繫結 LDAP 通道的方法：StartTLS 和 LDAPS。 - StartTLS：這是用於與 Tableau Server 2021.2 中的 Active Directory 進行通訊的預設設定。從 Tableau Server 2021.2 開始，會對與 Active Directory 的簡單繫結 LDAP 連線強制執行 TLS。此預設 TLS 設定對於新安裝和升級情境，均會強制執行此預設 TLS 設定。 **附註**：僅與 Active Directory 和簡單繫結通訊時，Linux 版 Tableau Server 才支援 StartTLS。與其他 LDAP 伺服器類型或 GSSAPI 的通訊不支援 StartTLS。 StartTLS 方法的工作原理是與 Active Directory 伺服器建立不安全的連線。在用戶端與伺服器進行交涉後，該連線會升級為 TLS 加密連線。作為預設設定，此情境僅需要 Tableau Server 上具有有效的 TLS 憑證。不需要其他設定。 - LDAPS：安全 LDAP 或 LDAPS 是需要更多設定的標準加密通道。具體而言，除了 Tableau Server 上需要具有 TLS 憑證之外，還必須為目標 LDAP 伺服器設定主機名稱和安全 LDAP 連接埠。 任何 LDAP 伺服器（包括 Active Directory 伺服器）均支援 LDAPS。 ## 為簡單繫結設定加密通道 本節會介紹如何設定 Tableau Server，以使用 LDAP 簡單繫結的加密通道。 ### 何時設定 您必須在初始化 Tableau Server 之前，或將其作為[設定初始節點設定](https://help.tableau.com/current/server-linux/zh-tw/config_general.htm)中「使用 TSM CLI」索引標籤中提到的設定初始節點的一部分之前，將 Tableau Server 設定為使用 LDAP 簡單繫結的加密通道。 ### Tableau Server 的全新安裝 若組織使用的是 Active Directory 以外的 LDAP 目錄，則無法使用 TSM GUI 安裝程式在 Tableau Server 安裝中設定身分存放區。相反，必須使用 JSON 實體檔案來設定 LDAP 身分存放區。請參閱[identityStore 實體](https://help.tableau.com/current/server-linux/zh-tw/entity_identity_store.htm)。 在設定 identityStore 實體之前，請按照本主題前面所述，將有效的 SSL/TLS 憑證匯入到 Tableau Keystore 中。 設定 LDAPS 需要在 identityStore JSON 檔案中設定主機名稱和 sslPort 選項。 ### Active Directory 環境中的全新安裝 若將 Active Directory 用作外部身分存放區，則必須執行 Tableau Server 安裝程式的 GUI 版本。與安裝 Tableau Server 的 CLI 流程不同，安裝程式的 GUI 版本包含用於簡化和驗證 Active Directory 設定的邏輯。 此處顯示的為可在其中設定 Active Directory 的 Tableau Server 安裝程式 GUI。 ![身分存放區視窗，其中包含一則訊息，表示初始化後無法變更身分存放區。](/tableau/current/zh-tw/server-linux/zh-tw/Img/tsm-ui-setup-id-store-ad-linux.png) 若要在 Linux 上安裝 Tableau Server 的新執行個體，並且已在 Tableau Keystore 中安裝有效的 SSL/TLS 憑證，建議將預設選項設定為 StartTLS。 若要設定 LDAPS，請在選取 LDAPS 選項之前輸入 LDAP 伺服器的主機名稱和安全連接埠（通常為 636）。 安裝後，可以登入 TSM Web UI，並按一下設定索引標籤、使用者身分和存取，然後按一下身分存放區，以變更這些設定。 ### 升級情境 若要升級到 Tableau Server 的 2021.2 版本（或更高版本），並將 Active Directory 用作外部身分存放區，則會對 LDAP 簡單繫結連線強制使用加密通道。若未設定加密通道，則升級將失敗。 要成功升級到版本 2021.2 或更高版本，必須滿足以下條件之一： - 現有的 Tableau Server 安裝已設定 LDAPS，並且 Tableau Keystore 中包含憑證。 - 升級之前，Tableau Keystore 中存在有效的 SSL/TLS 憑證。在這種情況下，預設的 StartTLS 設定將啟用加密通道。 - 加密 LDAP 通道已停用，如下節所述。 ## 停用預設的加密 LDAP 通道 若要在 Linux 上執行 Tableau Server，並連線到 Active Directory，則可以停用加密通道要求。 停用後，用於與 Active Directory 建立繫結工作階段的使用者認證會在 Tableau Server 和 Active Directory 伺服器之間以純文字方式進行通訊。 ### 停用新安裝 若要將 Active Directory 用作身分存放區，則必須使用 TSM GUI 設定 Active Directory 連線。請參閱[設定初始節點設定](https://help.tableau.com/current/server-linux/zh-tw/config_general.htm)。 ![身分存放區視窗，其中包含一則訊息，表示初始化後無法變更身分存放區。](/tableau/current/zh-tw/server-linux/zh-tw/Img/tsm-ui-setup-id-store-ad-linux-disable-ldap.png) 執行安裝程式時，選取 LDAP（未加密通道）。 ### 升級前停用 若要從早期版本升級到 Tableau Server 2021.2（或更高版本），請在升級之前先在 Tableau Server 的早期版本上執行以下命令： tsm configuration set -k wgserver.domain.ldap.starttls.enabled -v false --force-keys tsm pending-changes apply 要驗證是否已設定金鑰，請執行以下命令： tsm configuration get -k wgserver.domain.ldap.starttls.enabled 命令應傳回 `false`。 ## 錯誤訊息 可能會顯示或記錄以下錯誤訊息。如果看到這些錯誤，請執行以下操作： - 請驗證憑證是否有效，以及是否如本主題前面所述，將其匯入到 Tableau Keystore 中。 - （僅 LDAPS） - 請驗證主機名稱和連接埠名稱是否正確。 ### 在安裝程式 GUI 中 若在執行安裝程式或升級 GUI 時將 LDAPS 或 StartTLS 設定錯誤，會顯示以下錯誤。 TLS handshake failed. Tableau Server and the Active Directory server could not negotiate a compatible level of security. Vizportal 記錄檔 若使用 CLI 設定 LDAPS 或 StartTLS，則不會顯示以下錯誤訊息。相反，錯誤會記錄在位於 `/var/opt/tableau/tableau_server/data/tabsvc/logs/vizportal` 的 Vizportal 記錄檔中。 Authentication with LDAP server failed. The provided credentials or configuration are either incorrect or do not have the necessary permissions to bind.