# tableau Tableau Server on Windows (server) - Full Documentation [跳至主要內容](#main-content) # 「資料詮釋」中的已分析欄位 資料詮釋在儀表板或工作表上執行統計分析，以查找極端值標記，或者專門針對您選取的標記執行分析。分析還會考慮目前檢視中未表示的資料來源中可能相關的資料點。 「資料詮釋」可能不包含分析中資料來源的每一欄。在許多情況下，某些類型的欄位將自動從分析中排除。有關詳情，請參閱[預設情況下排除的欄位](#DefaultExcFields)。 ![已分析欄位的資料詮釋檢視。](/tableau/current/zh-tw/server/zh-tw/Img/explaindata_viewfields.gif) **附註**：具有超過 500 個唯一值的維度不會被考慮用於分析（除非作者在「資料詮釋」設定中允許）。 所有使用者都可以查看有關當前分析中包含或排除哪些欄位的資訊。具有編輯權限的 Creator 和 Explorer 可以編輯「資料詮釋」用於統計分析的欄位。 ## 查看「資料詮釋」分析的欄位 展開對標記值有貢獻的度量詮釋時，「資料指南」窗格的底部會顯示一個連結，表明分析中考慮的欄位數。 ![含連結的資料詮釋以檢視與較高總和值相關的 23 個欄位中的 14 個欄位。](/tableau/current/zh-tw/server/zh-tw/Img/explaindata_fieldslink.png) 按一下連結可查看當前統計分析中包含或排除的欄位清單。 當資料來源包含 1000 個以上未視覺化的維度或度量時，可能會看到一則警示，詢問是否希望「資料詮釋」考慮更多欄位。按一下「詮釋全部」，執行包含更多欄位的分析。分析可能需要更長時間才能完成。 #### 查看「資料詮釋」用於統計分析的欄位 1. [對儀表板、工作表或標記執行資料詮釋](https://help.tableau.com/current/server/zh-tw/explain_data_basics.htm#RunExD)。 2. 在「資料指南」窗格中的**對值有貢獻**下，按一下度量名稱。 ![詳細說明已分析標記的資料詮釋，其中突出顯示的文本描述了高於預期行程距離總和 8,800 的值。](/tableau/current/zh-tw/server/zh-tw/Img/explaindata_viewfields1.png) 3. 按一下窗格底部的_欄位數_連結。 ![詳細說明已分析標記的資料詮釋，其中突出顯示的文本為「12 of 23 fields」。](/tableau/current/zh-tw/server/zh-tw/Img/explaindata_viewfields2.png) ## 變更用於統計分析的欄位 具有編輯權限的 Creator 和 Explorer 可以在「資料詮釋設定」對話方塊的「欄位」索引標籤中選取要從統計分析中包含或排除的欄位。 ![「資料詮釋設定」視窗提供有關資料設定資訊，包括欄位和資料類型。](/tableau/current/zh-tw/server/zh-tw/Img/explaindata_settings.png) 當資料來源包含具有大量唯一值（最多 500 個）的維度時，不會考慮使用這些欄位進行分析。 #### 編輯「資料詮釋」用於統計分析的欄位 分析欄位的設定套用於資料來源層級。 1. 編輯檢視時在標記上執行「資料詮釋」。 2. 在「資料指南」窗格中，按一下窗格底部的設定圖示。或者，按一下「已分析欄位」檢視中的「編輯」（[如何開啟已分析欄位](#ViewAnalyzed)）。 ![「已分析欄位」窗格上的「編輯」按鈕。](/tableau/current/zh-tw/server/zh-tw/Img/explaindata_editfields.png) 3. 在「資料詮釋設定」對話框中，按一下「欄位」索引標籤。 4. 按一下欄位名稱旁邊的下拉箭頭，選取「自動」或「永不包含」，然後按一下「確定」。 請注意，要包含在分析中的欄位必須少於 500 個唯一值。 ![選取了一個度量的「資料詮釋設定」視窗，並展開下拉式功能表以顯示包含或排除該欄位的選項。](/tableau/current/zh-tw/server/zh-tw/Img/explaindata_excludefield.png) ## 預設情況下排除的欄位
預設情況下排除的欄位排除理由

資料來源中有超過 1,000 個度量時，所有未視覺化的度量。

資料來源中有超過 1,000 個維度時，所有未視覺化的維度。

計算 1000 多個未視覺化度量或維度的詮釋可能需要更長的時間進行運算，有時需要幾分鐘的時間。預設情況下，初始分析會排除這些欄位，但是您可以選擇包含這些欄位，以進行進一步的分析。

在這種情況下，您可能會看到一則警示，詢問您是否希望「資料詮釋」考量更多欄位。按一下警示連結以獲取更多資訊。按一下「詮釋全部」，執行包含更多欄位的分析。

使用幾何圖形、緯度或經度的欄位幾何圖形、緯度或經度本身永遠無法做為詮釋。將緯度或經度列為詮釋的詮釋很可能是由於偽相關.，而不是可能的詮釋。
具有高基數的維度（具有 500 個以上成員的維度）

高基數維度的計算時間更長。不會考慮使用具有 500 個以上唯一值的維度進行分析。

群組、資料桶，或集合目前不支援。
表計算表計算的詳細資訊層級與檢視不同時，表計算無法進行分析。
無法算出平均值的未視覺化度量無法算出平均值的未視覺化度量包括導出欄位的度量，其中計算運算式包含彙總（新增至工作表時顯示為 AGG() 欄位）。
離散度量和連續維度目前不支援。
隱藏欄位不適用。
具有錯誤的導出欄位沒有可供分析的值。
[跳至主要內容](#main-content) # 「資料詮釋」中的詮釋類型 每次在視覺化或儀表板中選擇新標記並執行「資料詮釋」時，Tableau 都會考慮該標記和工作簿中的基礎資料執行新的統計分析。會在「資料指南」窗格的可展開部分顯示可能的詮釋。有關「資料詮釋」如何分析和評估詮釋的資訊，請參閱[資料詮釋如何運作](https://help.tableau.com/current/server/zh-tw/explain_data_explained.htm)。 ## 探索基礎值 此部分列出了每個可以詮釋的度量（稱為_目標度量_）的詮釋。此處列出的每個詮釋都描述了與在分析標記上測試的目標量值的關係。運用您對資料在現實世界的實際理解來確定「資料詮釋」給出的關係是否有意義且值得探索。 ![詳細說明已分析標記的資料詮釋，其中突出顯示的文本描述了高於預期行程距離總和 8,800 的值。](/tableau/current/zh-tw/server/zh-tw/Img/explaindata_targetmeasure.png) 在此範例中，「旅程距離」是目標量值 ### 基礎特徵 這些詮釋描述了檢視中標記的基礎記錄如何對所詮釋量值的彙總值做出貢獻。標記屬性可以包括[極值](#MA-Extreme)、[Null 值](#MA-Null)、[記錄數](#MA-NR)或標記的[平均值](#MA-AVG)。 **附註**：有關詮釋中常用術語的定義，請見詮釋中的[詮釋中的術語和概念](https://help.tableau.com/current/server/zh-tw/explain_data_basics.htm#TermsToKnow "連結到詮釋中使用的 Tableau 術語和概念的定義。")。 #### 極值 此詮釋類型指示一或多個記錄值是否明顯高於或低於大多數記錄。如果某個模型支持該詮釋，則表明極值正在影響被分析標記的目標量值。 當標記包含極值時，並不自動意味著其是異常或者您應將那些記錄排除在檢視之外。您需要根據分析作出自己的決定。詮釋只是指出標記中存在相關的極值。例如，它可以揭示記錄中誤輸入的值，比如香蕉花費 10 美元而不是 10 美分。或者，它可以揭示某個銷售員的季度銷售業績很好。 **附註**：此詮釋必須由作者啟用才能在已發佈工作簿的檢視模式下可見。有關詳情，請參閱[控制資料詮釋的存取](https://help.tableau.com/current/server/zh-tw/explain_data_control_access.htm)。

這個詮釋表示：

  • 分析標記中的基礎記錄數。
  • 對目標量值有貢獻的一或多個極值。
  • 標記中值的分佈。
  • 與每個分佈值對應的記錄詳細資訊。

探索選項：

  • 將遊標暫留在圖表中的圓圈上以查看其對應的值。
  • 選取詳細資訊清單下方的向左或向右箭頭可滾動查看記錄詳細資訊。
  • 如果可用，選取「檢視完整資料」，然後選取「完整資料」索引標籤以查看表中的所有記錄。
  • 選取\「開啟」 開啟「檢視」圖示。 圖示以查看視覺效果的更大版本。

隨後的分析步驟：

  • 如果記錄數較少，請檢查這些值與極值的比較。
  • 如果極值明顯高於或低於其他記錄值，則排除它並考慮它如何改變分析標記的值。
  • 考慮有極值和沒有極值的資料時，請藉此機會套用您對資料的實用知識。

 

在此範例中，租用 463 小時的單個極值導致總租用時間的總和高於預期的 613 小時。

在此範例中，租用 463 小時的單個極值導致總租用時間的總和高於預期的 613 小時。

這個值很高的可能原因是有人在歸還自行車時忘記將自行車停在適當的位置。在這種情況下，作者可能希望排除此值以供將來分析。

 

可視化差異

本區段顯示：

  • 排除極值後，分析標記值如何變化。

 

 

 

 

 

 

 

探索選項：

  • 選取\「開啟」 開啟「檢視」圖示。 圖示以查看視覺效果的更大版本。
  • 探索有和沒有極值（或多個值）的差異。
  • 作者可以將檢視作為新工作表開啟，並套用篩選器以排除極值。

隨後的分析步驟：

  • 如果極值明顯高於或低於其他記錄值，請將其排除並查看它如何改變分析標記的值。
  • 考慮有極值和沒有極值的資料時，請藉此機會套用您對資料的實用知識。
 使用地圖快照視覺化差異標題，並附有說明文字，表示當排除極值時，該值從 619.3 變更為 155.5。

在此範例中，排除極值 483 時，與檢視中的其他標記相比，分析標記不再那麼高。

在此範例中，排除極值 483 時，與檢視中的其他標記相比，分析標記不再那麼高。其他標記現在十分突出。作者可能想要探索其他標記，以考慮為什麼這些其他地點的自行車租賃時間更長。

#### Null 值 Null 值詮釋類型可顯示標記中缺失資料量高於預期的情況。其可表明目標度量值為 Null 的比例以及 Null 值可能如何影響該度量的彙總值。

這個詮釋表示：

  • 分析標記（藍色圓圈）的目標度量中值為 Null 的百分比。

探索選項：

  • 將游標暫留在散點圖中的每個圓圈上，以查看其詳細資訊。
  • 捲動以查看更多圖表。
  • 選取\「開啟」 開啟「檢視」圖示。 圖示以查看視覺效果的更大版本。

隨後的分析步驟：

  • 可選擇性地排除標記中的 Null 值，以進行進一步分析。
 

含「資料詮釋」文字的散佈圖，說明空值的百分比可能對平均值有貢獻。

在此範例中，目標度量中的 Null 值百分比顯示為藍色圓圈。

#### 記錄數 這種詮釋類型描述了基礎記錄的計數何時與總和相關。分析發現標記中彙總的記錄數量與標記的實際值之間存在關係。 雖然這看起來很明顯，但這種詮釋類型可幫助探索標記值是否受到其記錄中值的大小的影響，或者僅僅是因為分析標記中的記錄數。

這個詮釋表示：

  • 分析標記（深藍色條）的目標量值中的記錄數。
  • 來源視覺化中其他標記的目標量值中的記錄數（淺藍色條）。

探索選項：

  • 將滑鼠暫留在每條上可檢視詳細資料。
  • 捲動以查看更多圖表。
  • 選取\「開啟」 開啟「檢視」圖示。 圖示以查看視覺效果的更大版本。

隨後的分析步驟：

  • 比較記錄的單個值是低還是高，或者分析標記中的記錄數是低還是高。
  • 作者們，如果您對大量記錄感到驚訝，可能需要對資料進行標準化。
 

顯示行距離計數與總和之間關係的散佈圖，其中「資料詮釋」文字解釋了出行距離總和可能較高，因為 8 月的記錄數量較多。

在此範例中，針對「本月騎乘」的每個值列出了「旅程距離」的記錄數，這是原始視覺化中的一個維度。八月的總行程距離值最高。

您可能會探索八月的行程距離值最高，是因為八月出現更多行程，還是因為某些行程時間更長，而具有最高的行程距離。

#### 標記的平均值 這種詮釋類型描述了量值的平均值何時與總和相關。比較平均值是低還是高，或者記錄數是低還是高。

這個詮釋表示：

  • 來源視覺化中使用維度的每個值的目標量值平均值。

探索選項：

  • 將滑鼠暫留在每條上可檢視詳細資料。
  • 捲動以查看更多圖表。
  • 選取\「開啟」 開啟「檢視」圖示。 圖示以查看視覺效果的更大版本。

隨後的分析步驟：

  • 比較平均值是低還是高，或者記錄數是低還是高。例如，利潤高是因為賣出很多東西，還是因為賣出昂貴的東西？
  • 嘗試找出分析標記的平均值顯著更高或更低的原因。

 

 選取平均行程距離維度，並說明平均行程距離正在增加所解釋標記的預期行程距離總和。

在此範例中，八月的平均行程距離與大多數月份相比，並沒有顯著地高或低。這表示八月的旅程距離更高，因為八月的騎行次數更多，而不是人們乘坐的時間更長。

### 具有影響的單一值 使用此詮釋可了解構成分析標記的記錄值組成。 這種詮釋類型確定未視覺化維度中的單值何時可能對分析標記的彙總值有貢獻。未視覺化維度是資料來源中存在，但目前並未用於檢視中的維度。 此詮釋表示何時某個維度的每個基礎記錄具有相同的值，或者何時某個維度值因許多或少數記錄，對分析標記具有相同的單值而突出。 **附註：**有關詮釋中常用術語的定義，請見詮釋中的[詮釋中的術語和概念](https://help.tableau.com/current/server/zh-tw/explain_data_basics.htm#TermsToKnow "連結到詮釋中使用的 Tableau 術語和概念的定義。")。
這個詮釋表示：
  • 分析標記（藍色條）與來源視覺化中的所有標記（灰色條）維度的單值記錄數百分比。
  • 分析標記（藍色條）與來源視覺化中的所有標記（灰色條）維度的所有其他值記錄數百分比。
  • 分析標記（藍色條）中某個維度的單值的目標量值與所有標記（灰色條）的平均值。
  • 分析標記（藍色條）與來源視覺化中的所有標記（灰色條）維度的所有其他值目標量值平均值。

探索選項：

  • 將滑鼠暫留在每條上可檢視詳細資料。
  • 選取\「開啟」 開啟「檢視」圖示。 圖示以查看視覺效果的更大版本。

隨後的分析步驟：

  • 使用此詮釋可了解構成分析標記的記錄值組成。
  • 作者可能想要建立一個新的視覺化來探索本詮釋中出現的任何未視覺化維度。
 使用條形圖解釋所選標記的數據詳細信息，顯示影響該值的記錄。

在此範例中，統計分析表示，許多遊樂設施來自 Back Bay 車站周邊地區。請注意，車站周邊地區是一個未視覺化的維度，它與來源視覺化基礎資料中的旅程距離有某種關係。

### 貢獻較多者 使用此詮釋查看佔已分析標記最大部分的值。 對於 COUNT 彙總，貢獻較多者可顯示具有最多記錄的維度值。對於 SUM，此詮釋可顯示具有最大部分總和的維度值。 ### 具有影響的維度 使用此詮釋可了解構成分析標記的記錄值組成。 這種詮釋類型表示，未視覺化維度的分佈可能對分析標記的總值有貢獻。這種類型的詮釋是用於目標量值的總和、計數與平均值。未視覺化維度是資料來源中存在，但目前並未用於檢視中的維度。 **附註**：有關詮釋中常用術語的定義，請見詮釋中的[詮釋中的術語和概念](https://help.tableau.com/current/server/zh-tw/explain_data_basics.htm#TermsToKnow "連結到詮釋中使用的 Tableau 術語和概念的定義。")。
這個詮釋表示：
  • 來源視覺化中已分析標記（藍色條）維度的所有值記錄數與所有標記（灰色條）維度的所有值百分比。
  • 分析標記（藍色條）維度的所有值目標量值平均值，所有標記（灰色條）維度的所有值。

探索選項：

  • 將滑鼠暫留在每條上可檢視詳細資料。
  • 捲動以查看更多圖表。
  • 選取\「開啟」 開啟「檢視」圖示。 圖示以查看視覺效果的更大版本。

隨後的分析步驟：

  • 使用此詮釋可了解構成分析標記的記錄值組成。
  • 作者可能想要建立一個新的視覺效果來探索本詮釋中出現的任何未視覺化維度。
 詳細說明所選標記及其分佈資料的資料詮釋。

在此範例中，統計分析顯示，與整體標記的搭乘次數相比，從南部車站和 MIT 搭乘的次數較多，從 Charles Circle 和 Kendall 搭乘的次數較少。

請注意，車站名稱是一個未視覺化的維度，它與來源視覺化基礎資料中的旅程距離有某種關係。

### 具有影響的度量 這種詮釋類型表示，未視覺化量值的平均值可能對分析標記的總值有貢獻。未視覺化量值是資料來源中存在，但目前並未用於檢視中的量值。 此詮釋可以顯示未視覺化量值與目標量值之間的線性或二次關係。 **附註**：有關詮釋中常用術語的定義，請見詮釋中的[詮釋中的術語和概念](https://help.tableau.com/current/server/zh-tw/explain_data_basics.htm#TermsToKnow "連結到詮釋中使用的 Tableau 術語和概念的定義。")。
這個詮釋表示：
  • 目標量值的總和與檢視中分析標記（藍色圓圈）和所有標記（灰色圓圈）未視覺化量值的平均值之間的關係。
  • 如果目標量值的總和，因為未視覺化量值的平均值高或低而有高有低。

探索選項：

  • 將滑鼠暫留在每個圓圈上可檢視詳細資料。
  • 選取\「開啟」 開啟「檢視」圖示。 圖示以查看視覺效果的更大版本。

隨後的分析步驟：

  • 作者可能想要建立一個新的視覺化來探索本詮釋中出現的任何未視覺化量值。
 詳細說明所選度量的資料詮釋。

在此範例中，旅程距離高的一個可能原因是平均租用總時間也高。

## 要探索的其他內容︰ 此部分顯示了分析標記獨特或不尋常的可能原因。這些詮釋： - 不要詮釋為什麼這個標記的值就是這樣。 - 與來源視覺化中的量值沒有任何關係。 - 不考慮任何目標量值。 ### 其他感興趣的維度 使用此詮釋可了解構成分析標記的記錄值組成。 與檢視中所有其他標記值分佈相比，分析標記中未視覺化維度分佈是不尋常的。未視覺化維度是資料來源中存在，但目前並未用於檢視中的維度。 **附註**：有關詮釋中常用術語的定義，請見詮釋中的[詮釋中的術語和概念](https://help.tableau.com/current/server/zh-tw/explain_data_basics.htm#TermsToKnow "連結到詮釋中使用的 Tableau 術語和概念的定義。")。
這個詮釋表示：
  • 來源視覺化中已分析標記（藍色條）維度的所有值記錄數與所有標記（灰色條）維度的所有值百分比。

探索選項：

  • 將滑鼠暫留在每條上可檢視詳細資料。
  • 捲動以查看更多圖表。
  • 選取\「開啟」 開啟「檢視」圖示。 圖示以查看視覺效果的更大版本。

隨後的分析步驟：

  • 使用此詮釋可了解構成分析標記的記錄值組成。
  • 作者可能想要建立一個新的視覺效果來探索本詮釋中出現的任何未視覺化維度。
 詳細說明其他感興趣維度的資料詮釋。

在此範例中，很大比例的記錄與陰天天氣相關。因為資料是關於波士頓的自行車租賃，並且分析標記是八月的旅程距離，我們可以假設天氣和平常一樣溫暖潮濕。人們可能會在陰天更頻繁地租用自行車以避免炎熱。八月也可能有更多的陰天。

[跳至主要內容](#main-content) # Active Directory 部署的網域信任需求 在跨多個網域（位於相同 Active Directory 林或不同林中）的 Active Directory 環境中執行 Tableau Server 時，某些 Tableau 功能依賴於網域之間的信任關係。例如，某些管理員在獨立於部署伺服器應用程式（例如 Tableau Server）的網域的其他網域中管理使用者。在其他組織中，外部合作夥伴或組織中的不同合作夥伴可能會共用 Tableau Server 部署。最後，Tableau Server 連線到的經過 Windows 驗證的資料來源（例如 SQL Server、MSAS 或 Oracle）也可能在其他網域中。 如果可行，我們建議在與 Tableau Server 交互的所有網域之間設定雙向信任。如果不可行，可將 Tableau Server 設定為支援已設定了單向信任的使用者驗證。在這種情況下，如果安裝了 Tableau Server 的網域設定為信任使用者帳戶所在的網域，則支援域之間的單向信任。 下圖顯示安裝了 Tableau Server 的網域與使用者帳戶所在網域之間的單向信任： ![兩個三角形，一個標記為「users.lan」，另一個標記為「dev.local」，箭頭表示指向前者的「信任」。](/tableau/current/zh-tw/server/zh-tw/Img/runas_oneway_trust.png) 在此方案中，Tableau Server 位於 dev.local 網域中，並會將 users.lan Active Directory 網域中的使用者匯入 Tableau Server。此方案需要單向信任；具體而言，dev.local 網域設定為信任 users.lan 網域。users.lan 網域中的使用者可使用其標準 Active Directory 認證存取 dev.local 中的 Tableau Server。但是，在使用者使用昵稱記錄之前，您可能需要在 Tableau Server 上更新網域昵稱。有關詳情，請參閱 [Tableau 知識庫](http://kb.tableau.com/articles/Issue/users-from-new-domain-unable-to-log-in-and-do-not-appear-in-user-list?lang=zh-tw)。 為此方案設定 Tableau Server 時，請在安裝過程中指定主要使用者網域。請參閱[設定初始節點設定](https://help.tableau.com/current/server/zh-tw/config_general.htm)。為了確保 Tableau Server 可連線至其他 Active Directory 網域，您必須藉由透過 TSM 設定 `wgserver.domain.accept_list` 選項，以指定 Tableau Server 要連線到的其他網域。有關詳情，請參閱 [wgserver.domain.accept\_list](https://help.tableau.com/current/server/zh-tw/cli_configuration-set_tsm.htm#wgserver-domain-acceptlist)。 執行身分服務帳戶對於要從中匯入使用者的每個網域也須具有查詢（讀取）權限。 **附註：**在某些情況下，執行身分識別服務帳戶無權查詢使用者所在的輔助網域，可能需要使用對所有使用者網域具有權限的帳戶來設定 ldap 繫結。執行此操作時，建議使用 gssapi 繫結代替簡單繫結。請參閱[LDAP 與 GSSAPI (Kerberos) 繫結](https://help.tableau.com/current/server/zh-tw/plan_identity_store.htm#gssapi)。 此單向信任方案中支援 Kerberos 單一登入。 檢視 [使用外部識別身分存放區進行部署中的使用者管理](https://help.tableau.com/current/server/zh-tw/users_manage_ad.htm)以瞭解多個網域、網域命名、NetBIOS 和 Active Directory 使用者名格式會對 Tableau 使用者管理產生怎樣的影響。 ### 在單向信任方案中連線到即時資料 在單向信任方案中，連線到 Tableau Server 的使用者可連線到雲端中託管的即時資料，或者任何其他不依賴於 Windows 驗證的本機資料來源上的即時資料。 要求 Windows 驗證的資料來源可能有其他驗證要求，這些要求會使方案複雜化，或者可能會使 Tableau Server 使用者無法連線。這是因為 Tableau Server 為此類資料來源的驗證使用執行身分使用者服務帳戶。如果在與使用 Windows 驗證的資料來源不同的其他網域中執行 Tableau Server，請驗證用於 Tableau Server 的執行身分使用者服務帳戶是否能存取資料來源。 [跳至主要內容](#main-content) # ATRDiag.exe 命令列參考 可以使用 ATRDiag 命令列公用程式來管理與 以登入為基礎的授權管理 和執行授權 (ATR) 功能相關的授權問題。 ## 概要 `ATRDiag -dumpATR -showAll -showVerbose -product ["Tableau Desktop"]["Tableau Prep"]["Tableau Server"]` `-subProduct {subProduct} -version {version} -setVersion {version}` `-log [Trace][Debug][Info][Warn][Error][Fatal][Off] -status -deleteAllATRs` `-deleteInvalidATRs -deleteATR {atrIdToDelete}` `-enableATRFeature -disableATRFeature -enableLBLMFeature -disableLBLMFeature` `-requireLBLMFeature -setDuration {seconds`} **附註：**所有 ATRDiag 選項都不區分大小寫。 ## 選項 `-dumpATR` 在命令提示字元（若存在）上顯示有效的執行授權 (ATR)。使用 `-version/-product/-subProduct/-version` 來控制傾印哪個 ATR（若有多個有效）。 `-showAll` 列舉登錄的內容，以查看可用的 ATR（其中一些可能無效）。 `-showVerbose` 列舉登錄的內容，並使用 `-version/-product/-subProduct/-version` 根據每個產品提供。 `-product ["Tableau Desktop"]["Tableau Prep"]["Tableau Server"]` 預設為「Tableau Desktop」。必須指定「Tableau Server」以顯示伺服器 ATR。 例如：`atrdiag -product "Tableau Server"` ![屬性詳細資料的命令提示字元視窗。](/tableau/current/zh-tw/server/zh-tw/Img/atrdiag_product_tableau_server.png) `-subProduct {subProduct}` 預設為「專業」。 `-version {version}` 沒有預設值；此欄位的有效值為「Tableau 2021.1」。 `-setVersion {version}` 保留 -version 的預設值。 `-log [Trace][Debug][Info][Warn][Error][Fatal][Off]` 顯示 ATR 記錄檔資訊。 `-status` 提供 ATR 功能狀態（啟用或停用）、授權伺服器，並傾印 ATR。 `-deleteAllATRs` 移除機器上存在的所有 ATR。 `-deleteInvalidATRs` 移除所有無效的 ATR。 `-deleteATR {atrIdToDelete}` 按 ID 移除 ATR。 `-enableATRFeature` 開啟 ATR 功能。必須以管理員身分執行。僅限用於Tableau Desktop。 `-disableATRFeature` 關閉 ATR 功能。必須以管理員身分執行。僅限用於Tableau Desktop。 `-enableLBLMFeature` 開啟 以登入為基礎的授權管理 (LBLM)。必須以管理員身分執行。 `-disableLBLMFeature` 關閉 以登入為基礎的授權管理 (LBLM)。必須以管理員身分執行。 `-requireLBLMFeature` 將 以登入為基礎的授權管理 (LBLM) 功能設定為必需。必須以管理員身分執行。 `-setDuration {seconds}` 將 `ATRRequestedDurationSeconds` 設定為秒。必須以管理員身分執行。 ## 全域選項 `-h, --help` 可選。 顯示命令說明。 [跳至主要內容](#main-content) # AWS 上的 Tableau Server 疑難排解 ## 這是封存內容 我們會繼續支援共用雲端部署，但不再更新協力廠商共用雲端部署的內容。 有關最新的 Tableau Server 部署內容，請參閱 Tableau Server 說明中的 [部署](https://help.tableau.com/current/server/zh-tw/install.htm)部分。 對於有存取權的客戶，我們建議使用 Tableau Cloud。有關更多詳細資訊，請參閱： - [Tableau Cloud 手動移轉指南](https://help.tableau.com/current/guides/migration/zh-tw/emg_intro.htm) - [Tableau Cloud 管理員試用版](https://help.tableau.com/current/server-linux/zh-tw/install.htm) - [Tableau Cloud：管理員入門](https://www.tableau.com/zh-tw/learn/get-started/online-admin) ## 簡介 按照本主題中的建議來解決在 AWS 雲端中的 Amazon EC2 執行個體上安裝 Tableau Server 時 Tableau Server 的常見問題。 - **TSM CLI 無法從其他節點中執行** TSM cli 經過相關設計，使您能透過包括 `-s` 選項來指定初始節點的名稱或 IP 位址，從而從伺服器叢集中的任何節點中執行 tsm 命令。在 AWS 中從多個節點執行 TSM 時，可能會出現以下症狀： - 帶 `-s` 選項執行 tsm 命令時，可能會顯示一條訊息： `Unable to verify the server's HTTPS certificate.` 若要從不是初始節點的任何節點中的命令提示字元處執行 TSM ，您需要使用 `-s` 開關和初始節點的私人 IP 位址。 - **Tableau Server 未使用所有 CPU 核心** 在使用 Tableau Server 核心授權時，可能會出現以下一個或多個症狀： - 在安裝 Tableau Server 時，對於執行 Tableau Server 的電腦，安裝程式顯示的核心數可能比預期顯示的核心數少。 - 在 Tableau Server 的 \[授權\] 頁面上， \[正在使用的授權\] 下列出的核心數比預期顯示的核心數少。 - 執行 `tsm licenses list` 時，Tableau Server 報告的核心數可能比預期顯示的核心數少。 有關詳情，請參閱 [Tableau Server 未識別所有核心](http://kb.tableau.com/articles/issue/not-all-cores-recognized-by-tableau-server?lang=zh-tw)。 - **I/O 延遲較高** 將磁碟機性能設定變更為**更好的效能**可以改善結果。 [跳至主要內容](#main-content) # AWS 上的 Tableau Server 部署選項 ## 這是封存內容 我們會繼續支援共用雲端部署，但不再更新協力廠商共用雲端部署的內容。 有關最新的 Tableau Server 部署內容，請參閱 Tableau Server 說明中的 [部署](https://help.tableau.com/current/server/zh-tw/install.htm)部分。 對於有存取權的客戶，我們建議使用 Tableau Cloud。有關更多詳細資訊，請參閱： - [Tableau Cloud 手動移轉指南](https://help.tableau.com/current/guides/migration/zh-tw/emg_intro.htm) - [Tableau Cloud 管理員試用版](https://help.tableau.com/current/server-linux/zh-tw/install.htm) - [Tableau Cloud：管理員入門](https://www.tableau.com/zh-tw/learn/get-started/online-admin) ## 簡介 您可以在您佈建的 Amazon EC2 執行個體上自行部署 Tableau Server，或使用「在 AWS 上快速開始部署 Tableau Server」中的 AWS CloudFormation 範本部署 Tableau Server，也可以使用 AWS Marketplace 的 AWS CloudFormation 範本在 AWS 上部署 Tableau Server。下表顯示了每個選項之間的差異。
Tableau ServerAWS 自行部署AWS 快速入門AWS Marketplace
生產準備就緒表示成功的標記圖示。紅色 X 圖示。紅色 X 圖示。
可升級表示成功的標記圖示。表示成功的標記圖示。表示成功的標記圖示。
在 Linux 上安裝表示成功的標記圖示。表示成功的標記圖示。表示成功的標記圖示。
在 Windows 上安裝表示成功的標記圖示。表示成功的標記圖示。表示成功的標記圖示。
縱向擴展表示成功的標記圖示。表示成功的標記圖示。表示成功的標記圖示。
橫向擴展（新增節點）表示成功的標記圖示。表示成功的標記圖示。紅色 X 圖示。
Active Directory 支援表示成功的標記圖示。紅色 X 圖示。紅色 X 圖示。
BYOL 授權表示成功的標記圖示。表示成功的標記圖示。表示成功的標記圖示。
支援最新版本的 Tableau表示成功的標記圖示。表示成功的標記圖示。表示成功的標記圖示。
以下詳細介紹了每個部署選項： - **自行部署到 Amazon EC2 執行個體** – 提供最大的靈活性和多種選項以根據您的環境自訂 Tableau Server。如果要快速啟動系統，請使用「在 AWS 上快速開始部署 Tableau Server」或 AWS Marketplace 中的 Tableau Server (BYOL) 產品。 對於開始簡單但以後可能需要縱向擴展或橫向擴展的開發、測試和生產環境，建議將 Tableau Server 自行部署到 Amazon EC2 執行個體。您不必更換 VM 也可升級 Tableau Server。 有關自行部署的詳情，請參閱[在 AWS 上自行部署單個 Tableau Server](https://help.tableau.com/current/server/zh-tw/ts_aws_single_server.htm)。有關在分散式環境中進行部署的詳情，請參閱[在分散式環境中向 AWS 自行部署 Tableau Server](https://help.tableau.com/current/server/zh-tw/ts_aws_multiple_server.htm)。 - **在 AWS 上快速開始部署 Tableau Server** – 使用 AWS CloudFormation 範本在獨立的 Amazon EC2 執行個體上或在執行 Microsoft Windows Server、CentOS 或 Ubuntu Server 的獨立的 Amazon EC2 執行個體叢集上安裝 Tableau Server。此部署原則可讓您快速上手並限制整體成本。 對於開始簡單但以後可能需要縱向擴展或橫向擴展的開發、測試和生產環境，建議使用 \[在 AWS 上快速開始部署 Tableau Server\] 。可以使用自己的授權 (BYOL) 或[聯絡銷售人員](https://www.tableau.com/zh-tw/about/contact#contact_sales)以獲取產品金鑰。您不必更換 VM 也可升級 Tableau Server。有關使用 \[快速開始\] 安裝 Tableau Server 的詳情，請參閱[在 AWS 上快速開始部署 Tableau Server](https://aws.amazon.com/quickstart/architecture/tableau-server/)。 有關在 AWS 快速開始部署專用 Tableau Server 等其他詳情，請參閱： - [Cloud Analytics Modernization on AWS Quick Start：End-to-End Cloud Analystics with Tableau Server](https://aws.amazon.com/quickstart/architecture/informatica-tableau-analytics/) - [Tableau Server on AWS for healthcare：在 AWS 上部署適用於 HIPAA 工作負載的商業智慧](https://aws.amazon.com/quickstart/architecture/tableau-server-healthcare/) - **AWS Marketplace 的 Tableau Server (BYOL)** –僅透過幾次點擊，即可在 AWS 安裝 Tableau Server (BYOL) 的單一節點執行個體。這項解決方案會在啟動時使用部署 Tableau Server 的 AWS CloudFormation 指令碼，更符合 AWS 快速入門現在的運作方式，可確保一致的客戶體驗。 可以[聯絡銷售人員](https://www.tableau.com/zh-tw/about/contact#contact_sales)以獲取產品金鑰，或 Tableau Server 在 Amazon EC2 執行個體上啟用並執行後，可以購買 Tableau Server 授權並啟用關聯的產品金鑰。有關 AWS Marketplace 的詳情，請參閱 [AWS Marketplace](https://aws.amazon.com/marketplace/seller-profile?id=0ef849c5-c2fa-4699-9f67-c47555e148a5)。Tableau Server AWS Marketplace 產品具有以下限制： - 單一電腦，僅縱向擴展。 - 無 Active Directory。僅本機驗證。如果您需要 Active Directory 驗證，請參閱[在 AWS 上自我部署單一 Tableau Server](https://help.tableau.com/current/server/zh-tw/ts_aws_single_server.htm)。 - 可以部署到一組特定類型和大小的最佳 Amazon EC2 執行個體上。 - 支援 Windows 和 Linux。 - 支援最新版本的 Tableau。 - 無須更換 VM 也可升級 Tableau Server。 有關 Tableau Server 的授權選項的詳情，請參閱[授權概觀](https://help.tableau.com/current/server/zh-tw/license_server_overview.htm)。 [跳至主要內容](#main-content) # AWS 拓撲上的 Tableau Server ## 這是封存內容 我們會繼續支援共用雲端部署，但不再更新協力廠商共用雲端部署的內容。 有關最新的 Tableau Server 部署內容，請參閱 Tableau Server 說明中的 [部署](https://help.tableau.com/current/server/zh-tw/install.htm)部分。 對於有存取權的客戶，我們建議使用 Tableau Cloud。有關更多詳細資訊，請參閱： - [Tableau Cloud 手動移轉指南](https://help.tableau.com/current/guides/migration/zh-tw/emg_intro.htm) - [Tableau Cloud 管理員試用版](https://help.tableau.com/current/server-linux/zh-tw/install.htm) - [Tableau Cloud：管理員入門](https://www.tableau.com/zh-tw/learn/get-started/online-admin) ## 簡介 在 AWS 上部署 Tableau Server 時，您可以選取 Tableau Desktop 和 Tableau Server 在 Amazon EC2 執行個體上的整合程度和深度。您可以使用 Tableau Desktop 及其從資料來源中擷取資料的能力來充當資料和 Tableau Server 之間的紐帶。根據您的需求，或者如果您的 AWS 雲端中已經有大量資料，您可能會改為選取將全部 AWS 服務與 Tableau Server 結合使用。下圖顯示了與 Tableau Desktop 和 Tableau Server 的資料來源整合。 ![透過 Tableau Desktop 和基於雲端的虛擬機器從原始資料到使用者存取的資料轉換流程圖。](/tableau/current/zh-tw/server/zh-tw/Img/tableau_cloud_topology.png) 在下圖中，您的所有資料都託管在 AWS 上。您可以分析以安全、可擴展的方式管理的結構化和非結構化資料。您可以利用僅位於 AWS 上的資料、位於 AWS 外部的非託管資料或者兩者的組合。這種靈活性可以大大改善組織為內部部署資料向雲端的移轉提供支援的能力，因為兩種資料可受到平等的支援。 ![演示使用來自 AWS 的資料進行資料收集、儲存、分析和視覺化過程的圖示。](/tableau/current/zh-tw/server/zh-tw/Img/tableau_aws_data_sources.png) [跳至主要內容](#main-content) # AWS 金鑰管理系統 Tableau Server 具有三個金鑰管理系統 (KMS) 選項，可讓您啟用空閒時加密。其中兩項需要 Advanced Management 功能，而本機一項可用於所有 Tableau Server 安裝。 **重要提示：**從 2024 年 9 月 16 日開始，進階管理將不再作為獨立的附加元件選項出售。Advanced Management 功能僅在您先前已購買 Advanced Management 功能，或已購買以下特定授權版本後可用：Tableau Enterprise、Tableau Cloud+ 或 Tableau+ Bundle（適用於 Tableau Cloud），或 Tableau Enterprise 或 Tableau Server+（適用於 Tableau Server）。 從版本 2019.3 開始，Tableau Server 已新增以下 KMS 選項：  - 所有安裝都可用的本機 KMS。詳細資訊，請參閱 [Tableau Server 金鑰管理系統](https://help.tableau.com/current/server/zh-tw/security_kms.htm)。 - Advanced Management 中包含的基於 AWS 的 KMS。 如下所述。 從版本 2021.1 開始，Tableau Server 已新增另一個 KMS 選項：  - Advanced Management 中包含的基於 Azure 的 KMS。有關詳情，請參閱 [Azure Key Vault](https://help.tableau.com/current/server/zh-tw/security_kms_azure.htm)。 隨著版本 2019.3 的發佈，Tableau Server 支援 AWS 金鑰管理系統 (KMS) 作為 Advanced Management 的一部分。 ## 用於空閒時加密的 AWS KMS Tableau Server 的 Advanced Management 中提供 AWS KMS。有關詳情，請參閱[关于 Tableau Server 中的 Tableau Advanced Management](https://help.tableau.com/current/server/zh-tw/itm_intro.htm) 。 如果您的組織要部署靜態資料擷取加密功能，則可以選擇將 Tableau Server 設定為使用 AWS 作為擷取加密的金鑰管理系統 (KMS)。若要啟用 AWS KMS，您必須在 AWS EC2 中部署 Tableau Server。在 AWS 方案中，Tableau Server 使用 AWS KMS 客戶主金鑰 (CMK) 來產生 [AWS 資料金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#data-keys)。Tableau Server 使用 AWS 資料金鑰作為所有加密擷取的根主要金鑰。但是，即使為 AWS KMS 設定，仍會使用原生 Java keystore 和本機 KMS 對 Tableau Server 上的密文進行安全儲存。AWS KMS 只用於加密已加密擷取的根主要金鑰。 使用 AWS 加密主根金鑰，不會在與擷取相同的權限下儲存主金鑰，以提供較佳的安全性屬性。 ![說明資料加密的各種金鑰的圖表。](/tableau/current/zh-tw/server/zh-tw/Img/security_kms_AWS_key_hierarchy.png) 使用 AWS Server 設定 Tableau Server 時的金鑰階層 ## 為 Tableau Server 加密擷取設定 AWS KMS 若要使用 AWS 客戶主金鑰 (CMK) 加密 Tableau Server KMS 階層中的根金鑰，您必須依照本節所述設定 Tableau Server。 在開始之前，確定您符合以下要求： - Tableau Server 必須部署在 AWS EC2 中。 - Tableau Server 必須使用 Advanced Management 進行設定。請參閱[关于 Tableau Server 中的 Tableau Advanced Management](https://help.tableau.com/current/server/zh-tw/itm_intro.htm) 。 - 您必須擁有在 AWS 金鑰管理服務中建立的客戶主要金鑰 (CMK) 的管理控制權。 - 設定 AWS KMS 的人員的使用者 ID（通常是電子郵件地址）長度不能超過 26 個字元。 ### 步驟 1：建立 CMK，並在 AWS中設定 Tableau Server 的金鑰原則 下列程序會在 AWS KMS 服務中執行。參考包含在 AWS 文件中。 1. 建立用於 Tableau Server 的 CMK。請參閱 AWS 主題[建立金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#data-keys)。 2. 更新伺服器執行個體的 IAM 角色。 Tableau Server 必須能使用執行個體的 IAM 角色，以 AWS KMS 進行驗證。需要為角色附加一個原則。此原則應提供在 CMK 上呼叫「GenerateDataKey」和「解密」動作的執行個體權限。請參閱 [Amazon EC2 的 IAM 角色](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/iam-roles-for-amazon-ec2.html)。 在 Tableau Server 的多節點部署中，伺服器的所有節點都必須在附加此原則（或等效原則）的角色下執行。您可以為叢集中的所有節點指派相同角色。 3. 至少 CMK 必須具有金鑰原則，其中 `Effect` 設定為 `Allow``Prinicpal`（附加至伺服器執行個體的 IAM 角色） `Action` `GenerateDataKey` 和 `Decrypt`。請參閱[在 AWS KMS 中使用金鑰原則](https://docs.aws.amazon.com/kms/latest/developerguide/key-policies.html)。 ### 步驟 2：收集 AWS 設定參數 您需要從 AWS KMS 取得完整的 ARN 字串。此字串在 AWS KMS 管理頁面的「一般設定」區段中。ARN 會以下列格式顯示：arn:aws:kms:::key/，例如 `arn:aws:kms:us-west-2:867530990073:key/1abc23de-fg45-6hij-7k89-1l0mn1234567`。 您也需要指定 AWS 區域，它也包含在 ARN 字串中。在上述的範例中，區域為 `us-west-2`。區域即為 KMS 執行個體所在的位置。在下一個步驟中，您必須按照 [Amazon API 閘道表格](https://docs.aws.amazon.com/general/latest/gr/rande.html)「區域」欄中所示指定一個區域。 ### 步驟 3：為 AWS KMS 設定 Tableau Server 在 Tableau Server 上執行以下命令。此命令將重新啟動伺服器： - `tsm security kms set-mode aws --aws-region "" --key-arn "arn:aws:kms:::key/"` `--key-arn` 選項從 AWS KMS 管理頁面的「一般設定」區段中，直接複製 ARN 的字串。 例如，如果您的 AWS KMS 執行個體是在 us-west-2 區域中執行，您的帳號就是 867530990073，而您的 CMK 金鑰是 1abc23de-fg45-6hij-7k89-1l0mn1234567，而命令則如下所示： `tsm security kms set-mode aws --aws-region "us-west-2" --key-arn "arn:aws:kms:us-west-2:867530990073:key/1abc23de-fg45-6hij-7k89-1l0mn1234567"` ### 步驟 4：啟用空閒時加密 請參閱[靜態擷取加密](https://help.tableau.com/current/server/zh-tw/security_ear.htm)。 ### 步驟 5：驗證安裝 1. 執行以下命令： `tsm security kms status` 可能會傳回下列資訊： - 客戶主金鑰 (CMK) 的 ARN (ID) - CMK 所在區域 - 正在使用的根主金鑰 (RMK) 的 ID。RMK 是由 CMK 加密的金鑰。Tableau Server 藉由呼叫 AWS KMS 來解密 CMK。然後使用 RMK 來加密/解密主要擷取金鑰 (MEK)。RMK 可以變更，但一次只能有一個。 - KMS 儲存一組主擷取金鑰 (MEK)。每個 MEK 有： - ID，例如 8ddd70df-be67-4dbf-9c35-1f0aa2421521 - 「加密或解密金鑰」或「僅解密金鑰」狀態。如果金鑰是「加密或解密」，則 Tableau Server 會使用它加密新的資料。否則，只會使用金鑰進行解密 - 建立時間戳記，例如「建立於：2019-05-29T23:46:54Z」。 - 第一次轉換至加密及解密：指示金鑰成為加密或解密金鑰的時間戳記。 - 轉換至僅加密：指示金鑰轉換為僅加密金鑰的時間戳記。 2. 在您加密和解密擷取之後檢視記錄： - 發佈擷取至您的網站，然後對其進行加密。請參閱[靜態擷取加密](https://help.tableau.com/current/server/zh-tw/security_ear.htm)。 - 使用 Tableau Desktop 或瀏覽器的 Web 製作存取擷取（這會解密要使用的擷取）。 - 在 vizqlserver\_node 記錄檔中搜尋 `AwsKmsEncryptionEnvelope` 和 `AwsKmsEncryptionEnvelopeAccessor` 字串。記錄的預設位置為 `C:\ProgramData\Tableau\Tableau Server\data\tabsvc\logs` 指示成功設定的記錄項目範例包括下列項目： - 使用 ARN 為 arn:aws:kms:us-west-2:867530990073:key/1234567d-a6ba-451b-adf6-3179911b760f 的 CMK 解密 ID 為 1abc23de-fg45-6hij-7k89-1l0mn1234567 的 RMK - 使用 ID 為 1abc23de-fg45-6hij-7k89-1l0mn1234567 的 RMK 解密 KMS 存放區 對於與 KMS 相關的發佈及擷取重新整理，請搜尋背景程式記錄。有關記錄的詳細資訊，請參閱[Tableau Server 記錄檔和記錄檔位置](https://help.tableau.com/current/server/zh-tw/logs_loc.htm)。 ## 疑難排解設定 ### 多節點不當設定 在 AWS KMS 的多節點安裝中，即使叢集中的其他節點設定不當，`tsm security kms status` 命令也會報告健全 (OK) 狀態。KMS 狀態檢查只會報告執行 Tableau Server Administration Controller 處理序所在的節點，而不會報告叢集中的其他節點。預設情況下，Tableau Server 管理控制器程序在叢集中的初始節點上執行。 因此，如果另一個節點設定不當，導致 Tableau Server 無法存取 AWS CMK，這些節點可能會報告各種服務的錯誤狀態，而這些服務將無法啟動。 如果將 KMS 設為 AWS 模式後，某些服務無法啟動，則請執行下列命令，回復成本機模式：`tsm security kms set-mode local`。 ## 重新整理 AWS CMK 重新整理 AWS CMK 是您使用 AWS 執行的工作。根據預設，AWS CMK 將一年重新整理一次。請參閱 AWS 主題 [如何自動執行金鑰變換工作](https://docs.aws.amazon.com/kms/latest/developerguide/rotate-keys.html#rotate-keys-how-it-works)。由於 ARN 和區域不會變更，因此您不需要更新 Tableau Server 上的 KMS 設定，以進行一般 CMK 重新整理。 AWS CMK 重新整理之後，您必須在 Tableau Server 上重新產生內部 RMK 和 MEK。您也應該使用新的 CMK 重新加密所有擷取： 1. 執行 `[tsm security regenerate-internal-tokens](https://help.tableau.com/current/server/zh-tw/cli_security_tsm.htm#regenerate-tokens)` 命令以在 Tableau Server 上重新產生所有內部金鑰，包括用於擷取加密的 RMK 和 MEK。 2. 執行 `tabcmd reencryptextracts ` 以重新加密指定網站上的擷取。在您要儲存加密擷取的每個網站上執行此命令。根據網站上的加密擷取數目，此作業可能會耗用大量的伺服器處理負載。請考慮在營業時間以外執行此作業。請參閱[靜態擷取加密](https://help.tableau.com/current/server/zh-tw/security_ear.htm)。 ## 在 Tableau Server 上重新產生 RMK 和 MEK 若要在 Tableau Server 上重新產生根主金鑰和主加密金鑰，請執行 `[tsm security regenerate-internal-tokens](https://help.tableau.com/current/server/zh-tw/cli_security_tsm.htm#regenerate-tokens)` 命令。 ## 使用 AWS KMS 進行備份及還原 伺服器備份可在 AWS 模式中執行，無需額外設定或程序。備份包含 RMK 和 MEK 的加密複本。解密金鑰需要 AWS CMK 的存取和控制權限。 對於還原，要放置還原內容的伺服器可以處於 KMS 模式，包括本機。唯一的要求是，用於還原備份的伺服器具有備份本身所用 CMK 的解密權限。 還原後，備份中的 MEK 會以僅解密金鑰的形式匯入。RMK 則不會遷移過來。作為安裝/還原過程的一部分，將產生一個新的 RMK。 [跳至主要內容](#main-content) # Azure Key Vault Tableau Server 具有三個金鑰管理系統 (KMS) 選項，可讓您啟用空閒時加密。其中兩項需要 Advanced Management 功能，而本機一項可用於所有 Tableau Server 安裝。 **重要提示：**從 2024 年 9 月 16 日開始，進階管理將不再作為獨立的附加元件選項出售。Advanced Management 功能僅在您先前已購買 Advanced Management 功能，或已購買以下特定授權版本後可用：Tableau Enterprise、Tableau Cloud+ 或 Tableau+ Bundle（適用於 Tableau Cloud），或 Tableau Enterprise 或 Tableau Server+（適用於 Tableau Server）。 從版本 2019.3 開始，Tableau Server 已新增以下 KMS 選項：  - 所有安裝都可用的本機 KMS。詳細資訊，請參閱 [Tableau Server 金鑰管理系統](https://help.tableau.com/current/server/zh-tw/security_kms.htm)。 - Advanced Management 中包含的基於 AWS 的 KMS。有關詳情，請參閱 [AWS 金鑰管理系統](https://help.tableau.com/current/server/zh-tw/security_kms_aws.htm)。 從版本 2021.1 開始，Tableau Server 已新增另一個 KMS 選項：  - Advanced Management 中包含的基於 Azure 的 KMS。 如下所述。 ## Azure Key Vault 可用於空閒時加密 從版本 2021.1.0 開始，Azure Key Vault 作為 Tableau Server 的 Advanced Management 的一部分提供。有關詳情，請參閱[关于 Tableau Server 中的 Tableau Advanced Management](https://help.tableau.com/current/server/zh-tw/itm_intro.htm) 。 若組織正在部署空閒時資料擷取加密，則可以選擇將 Tableau Server 設定為使用 Azure Key Vault 作為 KMS 進行擷取加密。若要啟用 Azure Key Vault，必須在 Azure 中部署 Tableau Server。在 Azure 情境中，Tableau Server 會使用 Azure Key Vault 對所有已加密擷取的根主要金鑰 (RMK) 進行加密。但是，即使已設定 Azure Key Vault，仍會使用 Tableau Server 原生 Java Keystore 和本機 KMS 對 Tableau Server 上的密碼進行安全儲存。Azure Key Vault 僅用於加密已加密擷取的根主金鑰。 ![說明資料加密的各種金鑰的圖表。](/tableau/current/zh-tw/server/zh-tw/Img/security_kms_azure_hierarchy.png) 將 Tableau Server 設定為使用 Azure Key Vault 時的金鑰階層 ## 為 Tableau Server 加密擷取設定 Azure Key Vault 若要使用 Azure Key Vault 加密 Tableau Server KMS 階層中的根金鑰，必須按照本節中的說明設定 Tableau Server。 在開始之前，確定您符合以下要求： - Tableau Server 必須部署在 Azure 中。 - Tableau Server 必須使用 Advanced Management 授權進行設定。請參閱[关于 Tableau Server 中的 Tableau Advanced Management](https://help.tableau.com/current/server/zh-tw/itm_intro.htm) 。 - 必須對金鑰所在的 Azure 中的保存庫具有管理控制權。 ### 步驟 1：在 Azure 中為 Tableau Server 建立金鑰保存庫和金鑰 下列程序會在 Azure Key Vault 服務中執行。參考包含在 Azure 文件中。 1. 建立將用於 Tableau Server 的金鑰保存庫。請參閱 Azure 主題[建立金鑰保存庫](https://docs.microsoft.com/en-us/azure-stack/user/azure-stack-key-vault-manage-portal?view=azs-2008#create-a-key-vault)。 2. 在保存庫中建立金鑰。請參閱 Azure 主題[管理金鑰和密碼](https://docs.microsoft.com/en-us/azure-stack/user/azure-stack-key-vault-manage-portal?view=azs-2008)。 金鑰必須是非對稱的 RSA 類型，但可以是任何大小（Tableau Server 對金鑰大小沒有要求）。建議使用「最低權限原則」來取得最大的安全性。 Tableau 需要權限才能執行 GET、UNWRAP KEY 和 WRAP KEY 命令操作，並且我們建議僅允許存取這些指定的操作，以取得最低權限。將存取原則指派給在其上執行 Tableau Server 的 VM。 在 Tableau Server 的多節點部署中，必須將存取原則指派給伺服器叢集的所有節點。 ### 步驟 2：收集 Azure 設定參數 將需要 Azure 中的金鑰保存庫名稱和金鑰名稱。 ### 步驟 3：為 Azure Key Vault 設定 Tableau Server 在 Tableau Server 上執行以下命令。此命令將重新啟動伺服器： - ``` tsm security kms set-mode azure --vault-name "" --key-name "" ``` `--vault-name` 和 `--key-name` 選項是直接來自 Azure Key Vault 的字串複本。 例如，若 Azure Key Vault 名稱為 `tabsrv-keyvault`，而金鑰為 `tabsrv-sandbox-key01`，則命令如下： `tsm security kms set-mode azure --vault-name "tabsrv-keyvault" --key-name "tabsrv-sandbox-key01"` ### 步驟 4：啟用空閒時加密 請參閱[靜態擷取加密](security_ear.htm)。 ### 步驟 5：驗證安裝 1. 執行以下命令： `[tsm security kms status](cli_security_tsm.htm#kms-status)` 可能會傳回下列資訊： - 狀態：正常（表示控制項目節點可以存取 Key Vault）： - 模式：Azure Key Vault - 保存庫名稱： - Azure Key Vault 金鑰名稱： - MEK 的 可用 UUID 清單，表示哪個金鑰處於使用中狀態 - 若無法存取 KMS 資料，則會顯示錯誤資訊 2. 在您加密和解密擷取之後檢視記錄： - 發佈擷取至您的網站，然後對其進行加密。請參閱[靜態擷取加密](security_ear.htm)。 - 使用 Tableau Desktop 或瀏覽器的 Web 製作存取擷取（這會解密要使用的擷取）。 - 在 vizqlserver\_node 記錄檔中搜尋 `AzureKeyVaultEnvelope` 和 `AzureKeyVaultEnvelopeAccessor` 字串。記錄的預設位置為 `C:\ProgramData\Tableau\Tableau Server\data\tabsvc\logs` 對於與 Azure Key Vault 相關的發佈及擷取重新整理，請搜尋背景程式記錄。有關記錄的詳細資訊，請參閱[Tableau Server 記錄檔和記錄檔位置](logs_loc.htm)。 ## 疑難排解設定 ### 多節點不當設定 在 Azure Key Vault 的多節點設定中，即使叢集中的另一個節點設定不當，`tsm security kms status` 命令也可能報告健康 (OK) 狀態。KMS 狀態檢查只會報告執行 Tableau Server 管理控制項目處理序所在的節點，而不會報告叢集中的其他節點。預設情況下，Tableau Server 管理控制項目程序在叢集中的初始節點上執行。 因此，若另一個節點設定不當，導致 Tableau Server 無法存取 Azure 金鑰，這些節點可能會報告各種服務的錯誤狀態，而這些服務將無法啟動。 若將 KMS 設為「azure」模式後，某些服務無法啟動，則請執行下列命令，以還原到本機模式：`tsm security kms set-mode local`。 ## 重新整理 Azure 金鑰 重新整理 Azure 中的 Azure 金鑰。沒有必需的或排程的金鑰重新整理時間段。可以透過在 Azure 中建立新的金鑰版本來重新整理金鑰。由於 Key Vault 名稱和金鑰名稱沒有變更，因此對於正常的 Azure Key 重新整理情境，不需要更新 Tableau Server 上的 KMS 設定。 ## 使用 Azure Key Vault 備份和還原 可以在 Azure Key Vault 模式下進行伺服器備份，而無需其他設定或程序。備份包含 RMK 和 MEK 的加密複本。解密金鑰需要對 Azure Key Vault 的存取和控制權限。 對於還原情境，要放置還原內容的伺服器可以處於 Azure Key Vault 或本機 KMS 模式。唯一的要求是，要將備份還原到的伺服器有權存取備份本身使用的 Azure Key Vault。 [跳至主要內容](#main-content) # Creator：連線到 Web 上的資料 您需要先連線到資料，然後才能在 Web 上建立新工作簿並組建檢視來分析資料。Tableau 支援連線到透過 Tableau Desktop 發佈的 Web 上的資料來源，或者直接透過 Tableau Cloud、Tableau Server 或 Tableau Public 連線到資料。 從 2019.3 開始，Tableau Server 和 Tableau Cloud 的 資料管理 供應項目中提供 Tableau Catalog。在環境中啟用 Tableau Catalog 後，除了可從「探索」巡覽和連線到資料之外，還可以從 Tableau Catalog 巡覽和連線到更多種類的資料，例如資料庫和資料表。有關 Tableau Catalog 的更多資訊，請參閱 [Tableau Server](https://help.tableau.com/current/server/zh-tw/dm_catalog_overview.htm) 或 [Tableau Cloud](https://help.tableau.com/current/online/zh-tw/dm_catalog_overview.htm) 中的「關於 Tableau Catalog」。從 2021.4 開始，資料管理 包括虛擬連線，即資料的集中存取點。有關詳細資訊，請參閱 [Tableau Server](https://help.tableau.com/current/server/zh-tw/dm_vconn_overview.htm) 或 [Tableau Cloud](https://help.tableau.com/current/online/zh-tw/dm_vconn_overview.htm) 說明中的「關於虛擬連線和資料原則」。 ## 開啟「連線至資料」頁面 在網路上，您可以使用「連線至資料」頁面存取待連線的資料。登入 Tableau Server 或 Tableau Cloud 後，您可以使用下列兩種方式開啟此頁面： - 首頁 > 新增 > 工作簿 - 探索 > 新增 > 工作簿 若使用的是 Tableau Public，則可以從作者設定檔開啟此頁面： - 我的設定檔 > 建立視覺效果 連線到資料對話方塊會顯示熱門混合內容的可捲動清單。若您有 資料管理 授權，則可以透過虛擬連線連線到資料，若有已啟用 Tableau Catalog 的 資料管理，還可以連線到外部資產，例如資料庫、檔案和表。 回應式搜尋欄位會顯示建議清單，該清單會在您輸入文字時更新。可以按資料類型、認證狀態或取決於所選資料類型的其他篩選器來篩選結果。例如，某些類型的資料可能允許您根據標記、連線類型、資料品質警告或其他準則進行篩選。舊版本的對話方塊的外觀和功能略有不同，但整體功能相似。 ![連線到 Tableau Cloud 上的資料，其中包含連線到資料來源、虛擬連線、資料庫和檔案或資料表的選項。](/tableau/current/zh-tw/server/zh-tw/Img/connect_to_data.png) 在「連線至資料」頁面上，您看到的索引標籤視乎您擁有的產品而定。 在 Tableau Server 上，從下列索引標籤中選取以連線至資料：「此網站上、檔案及連接器」。 ### 連線至「此網站上」的資料 1. 選取「此網站上」瀏覽至或搜尋發行資料來源。 2. 選取「名稱」下方的資料來源，然後按一下「連線」按鈕。 **附註：**除了連線到資料來源之外，當您擁有 資料管理 後，可以使用「此網站上」透過虛擬連線連線到資料。啟用 Tableau Catalog 後，還可以連線到資料庫、檔案和資料表。 ### 連線到檔案 Tableau 支援直接在瀏覽器中上載 Excel、文字型資料來源 (.xlsx、.csv、.tsv) 以及只需要一個檔案的空間檔案格式 (.kml、.geojson、.topojson、.json 以及 Esri shapefile 和 .zip 中封裝的 Esri 檔案地理資料庫)。在「連線到資料」窗格的「檔案」索引標籤中，透過將檔案拖放到欄位中或按一下「從電腦上載」連線到該檔案。可以上傳的最大檔案大小為 1 GB。 ### 使用連接器 從「連接器」索引標籤中，您可以連線到存放於企業中的雲端資料庫中或伺服器上的資料。必須為想要進行的每個資料連線提供連線資訊。例如，對於大多數資料連線，您必須提供伺服器名稱和您的登入資訊。 [支援連線](https://help.tableau.com/current/pro/desktop/zh-tw/exampleconnections_overview.htm)包含有關如何將 Tableau 連線到其中每種連接器類型以設定資料來源的資訊。如果所需連接器未出現在「連接器」索引標籤中，則可以透過 Tableau Desktop 連線至資料，並將資料來源發佈到 Tableau Cloud 或 Tableau Server 用於 Web 製作。深入瞭解如何在 Tableau Desktop 中[發佈資料來源](https://help.tableau.com/current/pro/desktop/zh-tw/publish_datasources.htm)。 Tableau 成功連線到您的資料後，「資料來源」頁面將開啟，以便您能夠準備要分析的資料並開始組建檢視。若要瞭解詳情，請參閱 [Creator：在 Web 上準備資料](https://help.tableau.com/current/pro/desktop/zh-tw/creator_data_prep.htm)。 #### Tableau Server 連接器

Actian Matrix*

Alibaba AnalyticDB for MySQL‡

Alibaba Data Lake Analytics‡

Alibaba MaxCompute‡

Amazon Athena‡

Amazon Aurora for MySQL‡

Amazon EMR Hadoop Hive‡

Amazon Redshift‡

Apache Drill‡

Aster Database*

Azure Data Lake Storage Gen2‡

Box‡

Cloudera Hadoop‡

Databricks‡

Datorama by Salesforce‡

Denodo‡

Dremio by Dremio‡

Dropbox‡

Esri 連接器‡

Exasol‡

Google BigQuery**‡

Google BigQuery JDBC**‡

Google Cloud SQL‡

Google 雲端硬碟‡

Impala‡

Kognito*

Kyvos‡

Hortonworks Hadoop Hive

IBM BigInsights

IBM DB2‡

IBM PDA (Netezza)

Kyvos‡

MariaDB‡

MarkLogic*

Microsoft Azure SQL Database‡

Microsoft Azure Synapse Analytics‡

Microsoft SQL Server‡

MonetDB*

MongoDB BI Connector‡

MySQL‡

OData‡

OneDrive‡

Oracle‡

Pivotal Greenplum Database‡

PostgreSQL‡

Progress OpenEdge*

Presto‡

Qubole Presto‡

SAP HANA（僅適用於虛擬連線）‡

SAP Sybase ASE

SAP Sybase IQ

Salesforce‡

SharePoint Lists‡

SingleStore（先前為 MemSQL）‡

Snowflake‡

Spark SQL‡

Teradata***‡

Vertica‡

\*無法在Linux伺服器上聯絡。 \*\*從網路建立資料來源時，Google BigQuery 需使用 OAuth。深入瞭解伺服器管理員如何[為 Google 設定 OAuth](https://help.tableau.com/current/server/zh-tw/config_oauth_google.htm)。 \*\*\* Teradata Web 製作目前不支援查詢追蹤功能。有關詳細資訊，請參閱 [Teradata](https://help.tableau.com/current/pro/desktop/zh-tw/examples_teradata.htm)。 ‡如果您有 資料管理，則支援虛擬連線。有關詳細資訊，請參閱 Tableau Server 說明中的[關於虛擬連線和資料原則](https://help.tableau.com/current/server/zh-tw/dm_vconn_overview.htm)。 #### Tableau Catalog 支援的連接器 Tableau Catalog 支援連線至 Tableau Server 支援的資料連接器的子集。如果資料來源、資料庫、檔案或表格為灰色，則無法從 Tableau Server 連線。不過，如果您具有正確權限，可以從 Tableau Desktop「連線」窗格進行連線。 在 Tableau Cloud 中，從下列索引標籤選取，以連線至資料：「此網站上」、「檔案」、「連接器」及「Dashboard Starter」。 ### 連線至「此網站上」的資料 1. 選取「此網站上」瀏覽至或搜尋發行資料來源。 2. 選取「名稱」下方的資料來源，然後按一下「連線」按鈕 **附註：**除了連線到資料來源之外，當您擁有 資料管理 後，可以使用「此網站上」透過虛擬連線連線到資料。啟用 Tableau Catalog 後，還可以連線到資料庫、檔案和資料表。 ### 連線到檔案 Tableau 支援直接在瀏覽器中上載 Excel 或基於文字的資料來源（.xlsx、 csv、 tsv）。在「連線到資料」窗格的「檔案」索引標籤中，透過將 Excel 或文字檔案拖放到欄位中或按一下「從電腦上載」來連線到該檔案。可以上傳的最大檔案大小為 1 GB。 ### 使用連接器 從「連接器」索引標籤中，您可以連線到存放於企業中的雲端資料庫中或伺服器上的資料。必須為想要進行的每個資料連線提供連線資訊。例如，對於大多數資料連線，您必須提供伺服器名稱和您的登入資訊。 [支援的連接器](https://help.tableau.com/current/pro/desktop/zh-tw/exampleconnections_overview.htm)具有關於如何使用連接器將 Tableau 連線至資料的資訊。如果所需連接器未出現在「連接器」索引標籤中，則可以透過 Tableau Desktop 連線至資料，並將資料來源發佈到 Tableau Cloud 或 Tableau Server 用於 Web 製作。深入瞭解如何在 Tableau Desktop 中[發佈資料來源](https://help.tableau.com/current/pro/desktop/zh-tw/publish_datasources.htm)。 **附註：**若無法從 Tableau Cloud 連線至資料，請檢查資料庫是否可公開存取。Tableau Cloud 連線到可從公開網際網路存取的資料。如果您的資料位於私人網絡後面，您可以使用 Tableau Bridge 進行連線。若要瞭解更多資訊，請參閱[發行者：使用 Tableau Bridge 使 Tableau Cloud 資料保持最新](https://help.tableau.com/current/online/zh-tw/qs_refresh_local_data.htm)。 #### Tableau Cloud 連接器

Alibaba AnalyticsDB for MySQL‡

Alibaba Data Lake Analytics‡

Amazon Athena‡

Amazon Aurora for MySQL‡

Amazon EMR Hadoop Hive‡

Amazon Redshift‡

Apache Drill‡

Azure Data Lake Storage Gen2‡

Azure Synapse Analytics（與 SQL Server 相容）

Box‡

Cloudera Hadoop‡

Databricks‡

Datorama by Salesforce‡

Denodo‡

Dremio by Dremio‡

Dropbox*‡

Esri 連接器‡

Exasol‡

Google BigQuery*‡

Google Cloud SQL（與 MySQL 相容）‡

Google 雲端硬碟‡

Hortonworks Hadoop Hive

Impala‡

Kyvos‡

MariaDB‡

Microsoft Azure SQL Database‡

Microsoft Azure Synapse Analytics‡

Microsoft SQL Server‡

MongoDB BI Connector‡

MySQL‡

OData‡

OneDrive*‡

Oracle‡

Pivotal Greenplum Database‡

PostgreSQL‡

Presto‡

Qubole Presto‡

Salesforce‡

SAP HANA（僅適用於虛擬連線）‡

SharePoint Lists‡

SingleStore（先前為 MemSQL）‡

Snowflake‡

Spark SQL‡

Teradata**‡

Vertica‡

\*有關在 Tableau Cloud 將 OAuth 2.0 標準用於 Google BigQuery、OneDrive 和 Dropbox 連線的更多資訊，請參閱 [OAuth 連線](https://help.tableau.com/current/online/zh-tw/protected_auth.htm)。 \*\* Teradata Web 製作目前不支援查詢追蹤功能。有關詳細資訊，請參閱 [Teradata](https://help.tableau.com/current/pro/desktop/zh-tw/examples_teradata.htm)。 ‡如果您有 資料管理，則支援虛擬連線。更多資訊，請參閱 Tableau Cloud 說明中的[關於虛擬連線和資料原則](https://help.tableau.com/current/online/zh-tw/dm_vconn_overview.htm)。 附註：Tableau Cloud 不支援使用 Google Cloud SQL 的 SSL。 #### Tableau Catalog 支援的連接器 Tableau Catalog 支援連線至 Tableau Cloud 的資料連接器的子集。如果資料來源、資料庫、檔案或表格為灰色，則無法從 Tableau Cloud 連線。但如果您擁有正確權限，可以從 Tableau Desktop「連線」窗格進行連線。 ### 使用 Dashboard Starter 在 Tableau Cloud 中，您可以使用 Dashboard Starter 製作和分析來自 LinkedIn Sales Navigator、Oracle Eloqua、Salesforce、ServiceNow ITSM 和 QuickBooks Online 的資料。在「Dashboard Starter」索引標籤上，從預先構建的設計的清單中，選取一個選項，然後按一下「使用儀表板窗格」。有關詳細資訊，請參閱[基於雲端資料來源的儀表板樣板](https://help.tableau.com/current/pro/desktop/zh-tw/starters.htm)。 ### 使用 Tableau Bridge 進行 Web 製作 在 Tableau Cloud 內製作資料檢視或直接在 Web 上工作時，Tableau Bridge 可為各種資料庫和雲端資料環境提供完整的查詢支援： - **具名連接器**：可以在 Web 製作工作階段期間直接為 Tableau Cloud 連線窗格中公開的任何受支援的具名連接器建立全新的資料連線。 - **非命名/一般連接器**：修改已指向功能正常、預先存在的 Bridge 支援架構的內容時，Web 製作與某些非命名資料庫連接器完全相容。這包含： - 「編輯資料來源」選項可能不適用於所有未命名的連接器。 - 在現有且正常運作的雲端工作簿中編輯內嵌資料來源。 Tableau 並非在所有方案中都支援透過 Web 製作編輯已發布資料來源。限制如下： - **「編輯資料來源」**選項可能無法用於使用未命名（通用）連接器的已發佈資料來源。該按鈕顯示為灰色。 - 目前不支援編輯包含與 Bridge 資料來源的多個連線的即時已發布資料來源，並將導致錯誤。 有關詳情，請參閱[「與 Bridge 的連線」](https://help.tableau.com/current/online/zh-tw/to_sync_local_data.htm)。 在 Tableau Public 上，可以透過上傳支援的檔案來連線到資料。 ### 連線到檔案 Tableau 支援直接在瀏覽器中上載 Excel 或基於文字的資料來源（.xlsx、 csv、 tsv）。在「連線到資料」窗格的「檔案」索引標籤中，透過將 Excel 或文字檔案拖放到欄位中或按一下「從電腦上載」來連線到該檔案。可以上傳的最大檔案大小為 1 GB。 若沒有資料集，請在 Tableau Public 網站上查看免費的[範例資料集](https://public.tableau.com/zh-tw/s/resources?qt-overview_resources=1#qt-overview_resources)。 ### 使用連接器 從連接器索引標籤中，可以連線到存放於雲端資料庫中的資料。必須為想要進行的每個資料連線提供連線資訊。例如，對於大多數資料連線，必須提供登入資訊。 [支援的連接器](https://help.tableau.com/current/pro/desktop/zh-tw/exampleconnections_overview.htm)具有關於如何使用連接器將 Tableau 連線至資料的資訊。若需要的連接器未顯示在「連接器」索引標籤中，可以透過 Tableau Desktop 連線到資料，並建立資料擷取。 **附註：**若無法從 Tableau Public 連線到資料，請檢查資料庫是否可公開存取。Tableau Public 只能連線到可從公開網際網路存取的資料。 #### Tableau Public 連接器

Google 雲端硬碟

OData

## 連線之後 Tableau 連線到您的資料後，「資料來源」頁面將開啟，以便您能夠準備要分析的資料並開始組建檢視。若要瞭解詳情，請參閱 [Creator：在 Web 上準備資料](https://help.tableau.com/current/pro/desktop/zh-tw/creator_data_prep.htm)。 ## 在 Web 製作過程中使資料保持最新 在 **Tableau Cloud 或 Tableau Server 中更新上載的檔案**：如果手動上載檔案（Excel 或文字）進行 Web 製作，Tableau 無法自動重新整理該檔案。若要更新資料，請選取「編輯連線」來上載檔的新版本。 在 Tableau Public 中，前往視覺效果，然後按一下「請求更新」。還可以透過在 Tableau Desktop Public Edition 中選取「保持此資料同步」來自動將資料保持為最新狀態。 **在 Tableau Cloud 更新基於檔案的已發佈資料來源：**如果擁有使用基於檔案在 Tableau Cloud 發佈的資料來源（透過 Tableau Desktop 發佈），則可以使用 Tableau Bridge 使其保持最新。有關詳情，請參閱[使用 Tableau Bridge 擴展資料新鮮度選項](https://help.tableau.com/current/online/zh-tw/to_sync_local_data.htm)。 並非在所有情境中都支援透過 Web 製作編輯已發佈資料來源。限制如下： - 對於使用未命名（泛型）連接器的已發佈資料來源，「編輯資料來源」選項不可用。該按鈕可能顯示為灰色。 - 編輯即時 PDS（無論是透過 Web 製作建立還是從 Tableau Desktop 發佈）可能導致連線錯誤。Tableau Cloud 可能會嘗試直接連線到資料庫，而不是透過 Bridge 路由，從而導致請求失敗。 - 目前不支援編輯包含 Bridge 資料來源的多個連線的即時 PDS，這會導致錯誤。 瞭解使用 Bridge 進行 Web 製作期間的錯誤 Web 製作失敗期間顯示的錯誤訊息可能無法明確指示與 Bridge 相關的問題。常見情境及其含義： - 網路或登入逾時錯誤（例如，「發生了與網路相關或特定於執行個體的錯誤」或「登入逾時已過期」）可能表示 Tableau Cloud 回退到直接連線嘗試，而不是透過 Bridge 路由。請驗證 Bridge 用戶端是否已連線並指派到正確的集區。 - NO\_POOLED\_AGENTS\_ASSIGNED\_NAMED\_POOL 錯誤表示沒有 Bridge 代理程式指派給為站台設定的命名集區。請指派一個使用中 Bridge 用戶端，以解決此問題。 - 若「編輯資料來源」按鈕顯示為灰色，則表示資料來源使用未命名連接器，目前不支援透過 Web 製作進行編輯。 [跳至主要內容](#main-content) # CSV 匯入檔案指導方針 透過建立含有使用者資訊的逗號分隔值 (CSV) 檔案，然後匯入該檔案，即可大量新增使用者。您可以在 CSV 檔案中包括屬性（例如授權層級和發佈存取權限），以便在匯入這些屬性的同時將它們應用於使用者。 此主題涵蓋 CSV 檔案本身詳情。要使用 CSV 匯入使用者，您可以： - 使用伺服器或站台管理頁面。詳情請參閱[匯入使用者](https://help.tableau.com/current/server/zh-tw/users_import.htm)。 - 使用 `tabcmd` 公用程式。有關資訊，請參閱 [createsiteusers filename.csv](https://help.tableau.com/current/server/zh-tw/tabcmd_cmd.htm#idd1b7729f-dd20-475a-96f6-17fcd2577894)。 您可以在網站或伺服器層級匯入使用者。如果將使用者匯入到伺服器（而不是匯入特定網站），則不會將使用者指派到網站，並且會以「Unlicensed」方式匯入使用者。 **附註：**除非另有說明，否則本主題中指定的指導方針對已設定或未設定[身分集區](https://help.tableau.com/current/server/zh-tw/identity_pools.htm)的 Tableau Server 均適用。 ## CSV 檔案格式要求 用於匯入使用者的 CSV 檔案有以下格式要求： - 無欄標題。Tableau Server假定檔案中的每一行代表一個使用者。 - 僅在匯入到站台時才支援具有位元組順序標記 (BOM) 的 UTF-8 格式。若要匯入到 Tableau Cloud Manager，請使用 UTF-8 格式並從檔案中移除任何 BOM。 - BIG-5 等字元編碼必須轉換為 UTF-8。可透過在文字編輯器中開啟檔並使用「另存新檔」命令來達到此目的。 - 如果 `@` 出現在 **username** 欄位，但不是網域分隔符，則必須使用十六進位格式：`\0x40`。例如，`user@fremont@mycompany.com` 應為 `user\0x40fremont@mycompany.com`。 ## CSV 檔案中所需的欄結構 該檔案不應包含標題列。不需要填寫所有欄，但必須保留必填欄結構，即包含所有預期的逗號分隔符。 不同產品以及匯入工具的欄結構各異。請確保為您的環境使用適當的結構： - **Tableau Cloud：**使用者名稱、密碼、顯示名稱、授權層級、管理員層級、發佈功能、電子郵件地址 - **具有 Tableau Cloud Manager (TCM) 的 Tableau Cloud：**租用戶或站台 URI、使用者名稱、密碼、顯示名稱、授權層級、管理員層級、發佈功能、電子郵件地址、驗證類型 - **Tableau Server：**username, password, display name, license level, admin level, publishing capability, email address - **使用身分集區的 Tableau Server：**username, password, display name, license level, admin level, publishing capability, email address, identity pool name, identifier 請參閱以下欄詳情部分了解每個欄可能值的更多資訊。 > [!WARNING] > > **重要提示：**欄的順序至關重要。將第一列視為使用者名，將第二列視為密碼，將第三列視為顯示名稱等等，而不考慮列中的內容。如果忽略欄位的值，您必須仍然包括欄位的逗號分隔符號。 ## Tableau Server 欄詳情 **附註**：如果未登入到具體站台，並且在伺服器層級匯入使用者，則只能指派「伺服器管理員」和「Unlicensed」站台角色。 CSV 檔案的欄結構：`username, password, display name, license level, admin level, publishing capability, email address` ### 欄詳細資料  **Username：**_必需_。該使用者的名稱。 - 如果伺服器設定為使用 Active Directory，則此值必須與 Active Directory 中定義的使用者相符。如果該使用者名稱在網域間不唯一，則必須使用者名稱中必須包含網域（例如，`example\Adam` 或 `adam@example`）。 - 若要將使用者新增到[身分集區](https://help.tableau.com/current/server/zh-tw/identity_pools.htm)，請確保以下內容： - 如果將使用者新增至使用 AD 作為其識別身分存放區的身分識別集區中，請確保使用 AD sAMAccountName 值作為使用者名稱。 - 如果將使用者新增至使用 LDAP 作為其識別身分存放區的身分識別集區中，請確保使用 LDAP 使用者名稱值作為使用者名稱。 **Password：**使用者的密碼。此欄是否為必填項取決於伺服器設定： - 本機驗證：_必填項_。從 Tableau Server 2024.2 開始強制執行必填密碼欄位。有關詳細資訊，請參閱 Knowledge 文章[在 Tableau Server 2024.2 中嘗試透過 tabcmd 新增使用者時出現意外的「errorCode=134」](https://help.salesforce.com/s/articleView?id=002277940&type=1)。 - Active Directory：_已忽略_。最佳做法是將此欄留為空白。 **Display name：**顯示名稱是用於在伺服器上識別使用者的資訊的一部分。此欄是否為必填項取決於伺服器設定： - 本機驗證：如果使用者的顯示名稱已在使用，Tableau Server 將使用 CSV 檔案中的設定更新現有使用者資訊。 - Active Directory：_已忽略_。最佳做法是將此欄留為空白。 **License level：**可以為 **Creator**、**Explorer**、**Viewer** 或**Unlicensed**。 - 如果授權層級為 Creator，則發佈能力必須為 Yes/True/1 - 如果有基於使用者的伺服器安裝，並且新增使用者會超出授權允許的使用者數，則會以未授權使用者形式新增使用者。 - 如果使用 `tabcmd` 並指定授權，但匯入使用者會超出授權限制，則會作為未授權使用者匯入使用者。 **Administrator level：**可以為**System**、**Site**或**None**，用於確定使用者是否以管理員身分匯入。 - System = 伺服器管理員，Site = 站台管理員，None = 非管理員。 - 如果未登入具體站台，並且在伺服器層級匯入使用者，則只能指派「Server Administrator」和「Unlicensed」。 - 如果使用 Web UI 匯入使用者，則只有在伺服器（所有網站）層級匯入檔時，您才能將管理員網站角色設定為「System」。如果登入具體站台，並且 CSV 檔案中使用者的管理員列設定為「System」，則 Tableau Server 將以站台管理員形式匯入使用者。 **Publishing capability**：可以為**「Yes/True/1」**或**「No/False/0」**。如果使用 Web UI，則只有在登入到具體站台的同時進行匯入才會使用發佈功能。 - 如果授權層級為 Creator，則發佈能力必須為 Yes/True/1 - 如果授權層級為 Explorer，則發佈功能值可以區分 Explorer (可發佈) 與 Explorer 站台角色 - 如果授權層級為 Viewer 或者 Unlicensed，則使用者將無法發佈，無論此欄的值是什麼。 **Email address：**電子郵件地址是用於在伺服器上識別使用者的資訊的一部分。如果電子郵件地址已在使用，Tableau Server 將使用 CSV 檔案中的設定更新現有使用者資訊。 任何留為空白的欄仍必須使用逗號分隔以保留該欄結構。 ### 身分集區 要在身分集區中新增使用者，除上述標準欄外，還需要以下欄： CSV 檔案的欄結構：`username, password, display name, license level, admin level, publishing capability, email address, identity pool name, identifier` 附加欄詳情： **身分集區名稱：**要新增使用者的身分集區的名稱。若要將使用者新增到身分集區並且未指定身分集區名稱，則使用者會新增到初始集區（已設定 TSM），這是在 Tableau Server 設定期間在 TSM 中佈建的使用者集。 **識別碼：**要新增使用者的識別碼。識別碼僅用於身分比對目的。有關詳情，請參閱[Tableau 中的使用者名稱和識別碼](https://help.tableau.com/current/server/zh-tw/identity_pools.htm#usernames_identifiers)。 - 本機驗證：_選用_ - Active Directory 或 LDAP：_必填項_ #### 使用身分集區大量新增使用者 您可以使用 CSV 匯入過程： - 在其他身分集區中大量新增使用者。**附註：**不能使用 CSV 匯入過程使用另一個身分集區取代使用者所屬的身分集區。如果新增具有不同身分集區值的現有使用者，則會將其新增至該附加身分集區。 - 為尚未沒有識別碼的使用者大量新增識別碼。**附註：**如果為同一集區中的使用者新增不同的識別碼，則不會取代該使用者的現有識別碼。相反，將為該使用者建立新的識別碼記錄。 ### 用於 Tableau Server 的 CSV 匯入範例 > [!TIP] > > **提示**：請記住，該結構為：`username, password, display name, license level, admin level, publishing capability, email address`。 以下範例顯示了一個包含若干使用者的資訊的 CSV 檔案。 henryw,henrypassword,Henry Wilson,Creator,None,yes,henryw@example.com freds,fredpassword,Fred Suzuki,Viewer,None,no,freds@example.com alanw,alanpassword,Alan Wang,Explorer,Site,yes,alanw@example.com michellek,michellepassword,Michelle Kim,Creator,System,yes,michellek@example.com - 如果在管理網站的同時匯入此檔案，則會向該網站中新增四個使用者。使用者 Michelle 的 `Administrator` 設定為 `System`。但是，由於您要將使用者匯入站台，Tableau Server 會為 Michelle 授予「站台管理員 Creator」站台角色。其中三個使用者允許進行發佈。 - 如果在管理伺服器的同時匯入此檔案，則會向伺服器中新增四個使用者，但不會將它們新增到任何網站。只會匯入一個使用者作為伺服器管理員；其餘使用者設定為「Unlicensed」。 #### 身分集區範例 > [!TIP] > > **提示**：請記住，該結構為：`username, password, display name, license level, admin level, publishing capability, email address, identity pool name, identifier`。 以下範例顯示了一個 CSV 檔案，其中包含新增到身分集區的兩個使用者的資訊。 henryw,henrypassword,Henry Wilson,Viewer,None,yes,hwilson@myco.com,General Contractors,hwilson freds,fredpassword,Fred Suzuki,Creator,None,no,fsuzuki@myco.com,General Contractors,fsuzuki 以下範例演示了一個 CSV 檔案，其中包含新增到身分集區的兩個使用者的資訊。 henryw,henrypassword,Henry Wilson,Viewer,None,yes,hwilson@myco.com,General Contractors 2,hwilson freds,fredpassword,Fred Suzuki,Creator,None,no,fsuzuki@myco.com,General Contractors 2,fsuzuki 以下範例顯示了一個 CSV 檔案，其中包含沒有現有識別碼的兩個使用者的資訊。 janes,janepassword,Jane Smith,Viewer,None,yes,jsmith@myco.com,General Contractors,jwang laurar,laurapassword,Laura Rodriguez,Creator,None,no,lrodriguez@myco.com,General Contractors,jrodriguez ### 提高透過 tabcmd 傳遞的大型 CSV 檔案的效能 **附註：**這些設定適用於 Tableau Server 版本 2022.1 及更早版本。從版本 2022.3 開始，它們影響的搜尋和索引服務已棄用，並在 2023.3 中已淘汰（完全移除）。 伺服器管理員可以啟用伺服器設定，幫助提高透過 tabcmd 命令匯入大型 CSV 檔案的效能。您可以使用以下選項執行 `tsm configuration set` 命令來完成此操作： - `vizportal.csv_user_mgmt.index_site_users` - `vizportal.csv_user_mgmt.bulk_index_users` - `searchserver.index.bulk_query_user_groups` 本質上，這些選項會在處理 CSV 檔案後建立這些使用者的索引，而不是在將使用者新增到伺服器的資料庫後逐個建立使用者索引。這將減少資料庫調用次數和處理檔所需的記憶體。這些 `tsm configuration set` 選項適用於 `tabcmd createsiteusers`、`deletesiteusers`、`addusers` 和 `removeusers` 命令。 有關這些設定的描述，請參閱[tsm configuration set 選項](https://help.tableau.com/current/server/zh-tw/cli_configuration-set_tsm.htm)。 ## CSV 設定和網站角色 使用者的授權層級、管理員和發佈設定確定如何在匯入過程中設定使用者的網站角色。以下演示了如何在 CSV 中擷取站台角色。
站台角色License levelAdministrator levelPublishing capability

伺服器管理員

只有在管理伺服器（即未登入具體站台）時匯入使用者的情況下，此角色才有效。

「伺服器管理員」站台角色始終獲得「Creator」授權（如果有）。如果沒有「Creator」授權，請參閱授權疑難排解瞭解 Tableau Server 如何處理此情況。系統True

站台管理員 Creator 或 站台管理員 Explorer

只有在登入到具體站台的同時匯入使用者，這些角色才有效。

Creator 或者 Explorer站台True
CreatorCreator無True
Explorer (可發佈)Explorer無True
ExplorerExplorer無False
ViewerViewer無False
未授權未授權無False
[跳至主要內容](#main-content) # gatewaySettings 實體 您必須為 Tableau Server 電腦設定閘道設定。 使用下面的組態檔範本建立一個 json 檔案。使用適當的值填寫各個選項之後，使用以下命令傳遞 json 檔案並應用設定： `tsm settings import -f /path/to/file.json` `tsm pending-changes apply` 如果擱置組態需要重新啟動伺服器，`pending-changes apply` 命令將顯示提示，讓您知道即將重新啟動。即使伺服器已停止，也會顯示提示，但在這種情況下不會重新啟動。您可以使用 `--ignore-prompt` 選項隱藏提示，但這樣做不會改變重新啟動行為。如果變更不需要重新啟動，則不會出現提示即可套用變更。有關詳情，請參閱 [tsm pending-changes apply](https://help.tableau.com/current/server/zh-tw/cli_pending-changes.htm#pending-changes-apply)。 ### 閘道設定 以下範本中的閘道設定指定 Tableau Server 的 HTTP 設定。我們建議使用 SSL/TLS。Tableau Server 採用硬編碼以將埠 443 用於 SSL/TLS。因此，如果啟用 SSL，則不需要更新 gatewaySettings 實體。 ### 組態範本 使用此範本設定閘道設定。 **重要事項**所有實體選項均大小寫視為相異。 有關組態檔、實體和金鑰的更多說明，請參閱[組態檔範例](https://help.tableau.com/current/server/zh-tw/config_file_example.htm)。 { "configEntities": { "gatewaySettings": { "\_type": "gatewaySettingsType", "port": 80, "sslRedirectEnabled": true, "publicHost": "localhost" } } } ### 組態檔參考 此表包括可隨 `"gatewaySettings"` 實體集一起包括的所有選項。 \_type 必要。 值：`"gatewaySettingsType"` 請不要變更。 port 指定 HTTP 埠。預設埠為埠 80。 sslRedirectEnabled 選項：`true` 或 `false`。 publicHost 指定 http/s 服務的主機名稱。 trustedIPs 指定與 Tableau Server 通訊的受信任 IP 位址。受信任的 IP 位址包括上游 Proxy 伺服器，以及用於向 Tableau Server 進行受信任的驗證的伺服器。請參閱[為 Tableau Server 設定 Proxy 與負載平衡器](https://help.tableau.com/current/server/zh-tw/proxy.htm)和[向 Tableau Server 新增受信任的 IP 位址或主機名稱稱](https://help.tableau.com/current/server/zh-tw/trusted_auth_trustIP.htm)。 如果您在叢集中執行 Tableau Server，則叢集的所有其他節點將自動包含在該實體更新的相應組態檔中。因此，如果為 `trustedIPs` 指定新值，則必須在值中包含其他節點的 IP 位址。 此選項採用字串清單，這需要以引號傳遞每個 IP 或主機，並用逗號（無空格）在括號中分隔。例如：`["192.168.1.101","192.168.1.102","192.168.1.103"]` 或 `["webserv1","webserv2","webserv3"]`。 trustedHosts 指定與 Tableau Server 通訊的受信任 IP 位址。通常，此值包含上游 Proxy 伺服器的清單。trustedHosts 中的值用於確定用戶端請求目標。 如果您在叢集中執行 Tableau Server，則叢集的所有其他節點將自動包含在該實體更新的相應組態檔中。因此，如果為 `trustedIPs` 指定新值，則必須在值中包含其他節點的 IP 位址。 此選項採用字串清單，這需要以引號傳遞每個 IP 或主機，並用逗號（無空格）在括號中分隔。例如：`["192.168.1.101","192.168.1.102","192.168.1.103"]` 或 `["webserv1","webserv2","webserv3"]`。 [跳至主要內容](#main-content) # Google 雲端平台上的 Tableau Server 拓撲 ## 這是封存內容 我們會繼續支援共用雲端部署，但不再更新協力廠商共用雲端部署的內容。 有關最新的 Tableau Server 部署內容，請參閱 Tableau Server 說明中的 [部署](https://help.tableau.com/current/server/zh-tw/install.htm)部分。 對於有存取權的客戶，我們建議使用 Tableau Cloud。有關更多詳細資訊，請參閱： - [Tableau Cloud 手動移轉指南](https://help.tableau.com/current/guides/migration/zh-tw/emg_intro.htm) - [Tableau Cloud 管理員試用版](https://help.tableau.com/current/server-linux/zh-tw/install.htm) - [Tableau Cloud：管理員入門](https://www.tableau.com/zh-tw/learn/get-started/online-admin) ## 簡介 在 Google 雲端平台上部署 Tableau Server 時，您可以選取 Tableau Desktop 和 Tableau Server 在 Google 計算引擎 (GCE) 虛擬機器 (VM) 上的集成程度和深度。您可以使用 Tableau Desktop 及其從資料來源中擷取資料的能力來充當資料和 Tableau Server 之間的紐帶。根據您的需求，或者如果您的 Google 雲端平台中已經有大量資料，您可能會改為選取將全部 Google 雲端平台服務與 Tableau Server 搭配使用。下圖顯示了與 Tableau Desktop 和 Tableau Server 的資料來源整合。 ![透過 Tableau Desktop 和基於雲端的虛擬機器從原始資料到使用者存取的資料轉換流程圖。](/tableau/current/zh-tw/server/zh-tw/Img/tableau_cloud_topology.png) 在下圖中，您的所有資料都託管在 Google 雲端平台上。您可以分析以安全、可擴展的方式管理的結構化和非結構化資料。您可以利用僅位於 Google 雲端平台上的資料、位於 Google 雲端平台外部的非託管資料或者兩者的組合。這種靈活性可以大大改善組織為內部部署資料向雲端的移轉提供支援的能力，因為兩種資料可受到平等的支援。 ![演示使用來自 Google 的資料進行資料收集、儲存、分析和視覺化過程的圖示](/tableau/current/zh-tw/server/zh-tw/Img/tableau_google_data_sources.png) [跳至主要內容](#main-content) # Google 雲端平台上的 Tableau Server 疑難排解 ## 這是封存內容 我們會繼續支援共用雲端部署，但不再更新協力廠商共用雲端部署的內容。 有關最新的 Tableau Server 部署內容，請參閱 Tableau Server 說明中的 [部署](https://help.tableau.com/current/server/zh-tw/install.htm)部分。 對於有存取權的客戶，我們建議使用 Tableau Cloud。有關更多詳細資訊，請參閱： - [Tableau Cloud 手動移轉指南](https://help.tableau.com/current/guides/migration/zh-tw/emg_intro.htm) - [Tableau Cloud 管理員試用版](https://help.tableau.com/current/server-linux/zh-tw/install.htm) - [Tableau Cloud：管理員入門](https://www.tableau.com/zh-tw/learn/get-started/online-admin) ## 簡介 如果在使用 Google 雲端計算引擎 (GCE) 虛擬機器 (VM) 上的 Tableau Server 或在安裝之後存取 Tableau Server 遇到問題，請檢閱以下疑難排解提示。 - **無法使用 RDP 連線到 VM** 以下一個或多個問題可能會使您無法使用 RDP 連線到 VM： - 確保使用正確的認證。 - 選取 \[**Other User**\] （其他使用者）選項，並在該處輸入您的認證。 - 確保使用在 GCP 執行個體上有效的使用者名。例如，如果您使用管理員帳戶 **myuser** 建立了執行個體，請在 RDP 對話方塊中輸入 **.\\myuser** 作為使用者名。 - **無法從遠端瀏覽器中存取伺服器** 以下一個或多個問題可能會使您無法從遠端瀏覽器中存取伺服器： - 登入到執行個體並確保伺服器正在執行。 - 在執行個體中，開啟瀏覽器，並以本機方式存取伺服器（例如，使用 http://localhost 或 http://localhost:port，其中 port 是伺服器設定為在其上偵聽的埠號）。 - 在 GCP 計算引擎控制台中，確保設定一個端點以允許進入執行個體的 HTTP 流量。 **附註：**您無法使用 Windows ping 公用程式來測試與執行個體的連線。從公共 Internet 中使用時，ping 公用程式會始終報告超時。 - **您收到以下錯誤訊息：Tableau Server 未獲授權** 如果在未先停用授權的情況下關閉執行個體，則可能出現此錯誤。請與 [Tableau 支援部門](http://www.tableau.com/zh-tw/support/request)聯絡。 - **Tableau Server 未使用所有 CPU 核心** 在使用 Tableau Server 核心授權時，可能會出現以下一個或多個症狀： - 在安裝 Tableau Server 時，對於執行 Tableau Server 的電腦，安裝程式顯示的核心數可能比預期顯示的核心數少。 - 在 Tableau Server 的 \[授權\] 頁面上， \[正在使用的授權\] 下列出的核心數比預期顯示的核心數少。 - 執行 `tsm licenses list` 時，Tableau Server 報告的核心數可能比預期顯示的核心數少。 有關詳情，請參閱 [Tableau Server 未識別所有核心](http://kb.tableau.com/articles/issue/not-all-cores-recognized-by-tableau-server?lang=zh-tw)。 [跳至主要內容](#main-content) # Tableau Server Helm Chart - 參考 **重要提示**：本文件假設您瞭解 Helm 和 Helm Chart，並且不嘗試提供詳細的規範性範例。它是為熟悉 Tableau Server 以及 Helm 和 Helm Chart的客戶設計的。 ## 簡介 本主題提供使用 Helm Chart 在 Kubernetes 上部署 Tableau Server 的參考資訊。 ### 值屬性矩陣 下表列出了 `values.yaml` 中的所有分葉屬性。 - **值**：點分隔鍵路徑 - **可選**：Chart 轉譯時是否可以省略此屬性 - **預期值**：有效的類型或允許的值 - 範圍：數值或語意範圍（如適用） | 值 | 預設值 | 描述 | 可選 | 預期值 | 範圍 | | --- | --- | --- | --- | --- | --- | | deploymentMode | single | 部署模式選取器 | true | `single` 或 `multinode` | 不適用 | | image.repository | "" | Tableau 映像存放庫 | false | 容器映像存放庫字串 | 非空白字串 | | image.tag | "" | Tableau 映像標記 | false | 映像標記字串 | 非空白字串 | | image.pullPolicy | IfNotPresent | 映像提取原則 | true | `Always,IfNotPresent,Never` | 不適用 | | image.pullSecrets | \[\] | 映像提取密碼參考 | true | 密碼名稱的字串陣列 | 不適用 | | serviceAccount.create | true | 建立專用 ServiceAccount | true | 布林值 | 不適用 | | serviceAccount.name | "" | ServiceAccount 名稱覆寫 | true | 字串 | DNS 標籤 | | serviceAccount.annotations | {} | ServiceAccount 註釋 | true | 地圖\[字串\]字串 | 不適用 | | securityContext.runAsUser | 999 | 容器 UID | true | 整數 | \>=0 | | securityContext.runAsGroup | 998 | 容器 GID | true | 整數 | \>=0 | | podSecurityContext.runAsUser | 999 | Pod 層級 UID | true | 整數 | \>=0 | | podSecurityContext.runAsGroup | 998 | Pod 層級 GID | true | 整數 | \>=0 | | podSecurityContext.fsGroup | 998 | 共用磁碟區 FS 群組 | true | 整數 | \>=0 | | podSecurityContext.fsGroupChangePolicy | OnRootMismatch | FS 群組擁有權原則 | true | `OnRootMismatch` 或 `Always` | 不適用 | | primary.replicaCount | 1 | 主要 StatefulSet 複本 | true | 整數 | \>=1 | | primary.hostname | primary | 主要主機名稱提示 | true | 字串 | 非空白 | | primary.resources.limits.cpu | "16" | 主要 CPU 限制 | true | Kubernetes CPU 數量 | \>0 | | primary.resources.limits.memory | "64Gi" | 主要記憶體限制 | true | Kubernetes 記憶體數量 | \>0 | | primary.resources.requests.cpu | "8" | 主要 CPU 請求 | true | Kubernetes CPU 數量 | \>0 | | primary.resources.requests.memory | "32Gi" | 主要記憶體請求 | true | Kubernetes 記憶體數量 | \>0 | | primary.nodeSelector | {} | 主要節點選取器 | true | 地圖\[字串\]字串 | 不適用 | | primary.tolerations | \[\] | 主要容忍度 | true | 容忍度物件陣列 | 不適用 | | primary.affinity | {} | 主要親和性規則 | true | 親和性物件 | 不適用 | | worker.replicaCount | 1 | 背景工作 StatefulSet 複本 | true | 整數 | \>=0 | | worker.hostname | worker | 背景工作主機名稱提示 | true | 字串 | 非空白 | | worker.resources.limits.cpu | "16" | 背景工作 CPU 限制 | true | Kubernetes CPU 數量 | \>0 | | worker.resources.limits.memory | "64Gi" | 背景工作記憶體限制 | true | Kubernetes 記憶體數量 | \>0 | | worker.resources.requests.cpu | "8" | 背景工作 CPU 請求 | true | Kubernetes CPU 數量 | \>0 | | worker.resources.requests.memory | "32Gi" | 背景工作記憶體請求 | true | Kubernetes 記憶體數量 | \>0 | | worker.nodeSelector | {} | 背景工作節點選取器 | true | 地圖\[字串\]字串 | 不適用 | | worker.tolerations | \[\] | 背景工作容忍度 | true | 容忍度物件陣列 | 不適用 | | worker.affinity | {} | 背景工作親和性規則 | true | 親和性物件 | 不適用 | | worker.healthChecks.enabled | false | 啟用背景工作探查 | true | 布林值 | 不適用 | | env.ACCEPTEULA | "1" | 接受 Tableau EULA | true | "`1`" 或 "`0`" | 不適用 | | env.LICENSE\_KEY | "" | 產品金鑰（透過環境變數） | true | 字串 | 若使用，則非空白 | | env.TABLEAU\_HOSTNAME | "" | 明確 Tableau 主機名稱 | true | 字串 | DNS 名稱/FQDN | | env.TSM\_ONLY | "0" | 執行僅 TSM 模式 | true | "`1`" 或 "`0`" | 不適用 | | env.TSM\_REMOTE\_UID | "" | TSM 遠端 UID | true | 數字字串 | \>=0 | | env.TSM\_REMOTE\_USERNAME | "" | TSM 遠端使用者名稱 | true | 字串 | 不適用 | | env.TSM\_REMOTE\_PASSWORD | "" | TSM 遠端密碼（透過環境變數） | true | 字串 | 若使用，則非空白 | | env.TABLEAU\_USERNAME | "" | Tableau 管理員使用者名稱（透過環境變數） | true | 字串 | 若使用，則非空白 | | env.TABLEAU\_PASSWORD | "" | Tableau 管理員密碼（透過 環境變數） | true | 字串 | 若使用，則非空白 | | env.ALWAYS\_WRITE\_BOOTSTRAP\_FILE | "0" | 從主要節點寫入啟動程序檔案 | true | "`1`" 或 "`0`" | 不適用 | | env.BOOTSTRAP\_INSTALL | "0" | 背景工作啟動程序安裝模式 | true | "`1`" 或 "`0`" | 不適用 | | env.WAIT\_FOR\_BOOTSTRAP\_FILE | "0" | 背景工作啟動程序安裝模式 | true | "`1`" 或 "`0`" | 不適用 | | env.HTTP\_PROXY | "" | 等待啟動程序檔案 | true | URL 字串 | 不適用 | | env.HTTPS\_PROXY | "" | HTTPS proxy URL | true | URL 字串 | 不適用 | | env.NO\_PROXY | "" | HTTPS proxy URL | true | 以逗號分隔的主機/CIDR | 不適用 | | env.PORT\_RANGE\_MIN | 8600 | 動態連接埠範圍最小值 無 proxy 清單 | true | 數字字串 | 1-65535 | | env.PORT\_RANGE\_MAX | 9000 | 動態連接埠範圍最大值 | true | 數字字串 | 1-65535; >= min | | env.COORDINATION\_SERVICE\_CLIENT\_PORT | "" | ZK 用戶端連接埠覆寫 | true | 數字字串 | 1-65535 | | env.COORDINATION\_SERVICE\_PEER\_PORT | "" | ZK 對等連接埠覆寫 | true | 數字字串 | 1-65535 | | env.LICENSE\_SERVICE\_VENDOR\_DAEMON\_PORT | "" | ZK 領導者連接埠覆寫 | true | 數字字串 | 1-65535 | | env.COORDINATION\_SERVICE\_LEADER\_PORT | "" | 授權守護程式連接埠覆寫 | true | 數字字串 | 1-65535 | | env.AGENT\_FILE\_TRANSFER\_PORT | "" | 代理程式檔案傳輸連接埠覆寫 | true | 數字字串 | 1-65535 | | env.CONTROLLER\_PORT | "" | 控制器連接埠覆寫 | true | 數字字串 | 1-65535 | | persistence.enabled | true | 啟用資料 PVC | true | 布林值 | 不適用 | | persistence.storageClass | "" | 資料 PVC 儲存類別 | true | 字串 | 現有儲存類別 | | persistence.accessMode | ReadWriteOnce | 資料 PVC 存取模式 | true | `ReadWriteOnce,ReadOnlyMany,ReadWriteMany` | 不適用 | | persistence.size | 100Gi | 資料 PVC 大小 | true | Kubernetes 數量 | \>0 | | persistence.bootstrap.enabled | true | 啟用啟動程序 PVC（多節點） | true | 布林值 | 不適用 | | persistence.bootstrap.storageClass | "" | 啟動程序 PVC 儲存類別 | true | 字串 | 現有儲存類別 | | persistence.bootstrap.accessMode | ReadWriteMany | 啟動程序 PVC 存取模式 | true | 通常為 `ReadWriteMany` | 不適用 | | persistence.bootstrap.size | 1Gi | 啟動程序 PVC 大小 | true | Kubernetes 數量 | \>0 | | persistence.bootstrap.createPV | false | 讓 Chart 建立靜態 PV | true | 布林值 | 不適用 | | persistence.bootstrap.volumeName | "" | 明確啟動程序 PV 名稱繫結 | true | 字串 | 現有 PV 名稱 | | persistence.bootstrap.pv.name | "" | `createPV=true` 時的 PV 名稱 | true | 字串 | DNS-1123 | | persistence.bootstrap.pv.capacity | 1Gi | PV 容量 | true | Kubernetes 數量 | \>0 | | persistence.bootstrap.pv.reclaimPolicy | Retain | PV 回收原則 | true | `Retain,Delete,Recycle` | 不適用 | | persistence.bootstrap.pv.volumeMode | Filesystem | PV 磁碟區模式 | true | `Filesystem` 或 `Block` | 不適用 | | persistence.bootstrap.pv.csi.driver | efs.csi.aws.com | 啟動程序 PV 的 CSI 驅動程式 | true | CSI 驅動程式名稱 | 不適用 | | persistence.bootstrap.pv.csi.volumeHandle | "" | EFS/檔案系統控制代碼 | true | 提供者特定的 ID | 若 `createPV=true`，非空白 | | persistence.bootstrap.pv.csi.volumeAttributes | {} | CSI 磁碟區屬性對應 | true | 地圖\[字串\]字串 | 不適用 | | persistence.bootstrap.permissionsFix.enabled | false | 啟用啟動程序權限初始化 | true | 布林值 | 不適用 | | persistence.bootstrap.permissionsFix.image | busybox:1.36 | 權限修正映像 | true | 有效的映像參考 | 不適用 | | persistence.bootstrap.permissionsFix.runAsUser | 0 | 權限修正初始化的 UID | true | 整數 | \>=0 | | persistence.bootstrap.permissionsFix.fsOwner | 999 | 啟動程序目錄的 chown UID | true | 整數 | \>=0 | | persistence.bootstrap.permissionsFix.fsGroup | 998 | 啟動程序目錄的變更擁有者 GID | true | 整數 | \>=0 | | persistence.bootstrap.permissionsFix.dirMode | "2775" | 啟動程序目錄的 chmod 模式 | true | 字串八進位模式 | 0000-7777 | | config.configJson | JSON 區塊 | Tableau `config.json` 內容 | true | 有效的 JSON 字串 | 不適用 | | config.regInfoJson | JSON 區塊 | Tableau 註冊 JSON | true | 有效的 JSON 字串 | 不適用 | | config.tabsvcYml | YAML 區塊 | Tableau `tabsvc.yml` 內容 | true | 有效的 YAML 字串 | 不適用 | |   |   | 產品金鑰（透過 Chart 密碼） | true | 字串 | 若使用，則非空白 | | secrets.tsmRemotePassword | "" | TSM 遠端密碼（透過密碼） | true | 字串 | 若使用，則非空白 | | secrets.tableauUsername | "" | Tableau 管理員使用者名稱（透過密碼） | true | 字串 | 若使用，則非空白 | | secrets.tableauPassword | "" | Tableau 管理員密碼（透過密碼） | true | 字串 | 若使用，則非空白 | | service.primary.type | ClusterIP | 主要服務類型 | true | `ClusterIP,NodePort,LoadBalancer` | 不適用 | | service.primary.ports.http | 80 | 主要 HTTP 連接埠 | true | 整數 | 1-65535 | | service.primary.ports.gateway | 8080 | 主要閘道連接埠 | true | 整數 | 1-65535 | | service.primary.ports.ssl | 8443 | 主要 SSL 連接埠 | true | 整數 | 1-65535 | | service.primary.ports.tsm | 8850 | 主要 TSM 連接埠 | true | 整數 | 1-65535 | | service.primary.ports.dynamic.start | 8600 | 動態連接埠起始值 | true | 整數 | 1-65535 | | service.primary.ports.dynamic.end | 9000 | 動態連接埠結束值 | true | 整數 | 1-65535; >= 起始值 | | service.primary.annotations | {} | 主要服務註釋 | true | 地圖\[字串\]字串 | 不適用 | | service.worker.ports.http | ClusterIP | 背景工作服務類型 | true | `ClusterIP,NodePort,LoadBalancer` | 不適用 | | service.worker.ports.http | 80 | 背景工作 HTTP 連接埠 | true | 整數 | 1-65535 | | service.worker.ports.gateway | 8080 | 背景工作閘道連接埠 | true | 整數 | 1-65535 | | service.worker.ports.ssl | 8443 | 背景工作 SSL 連接埠 | true | 整數 | 1-65535 | | service.worker.ports.tsm | 8850 | 背景工作 TSM 連接埠 | true | 整數 | 1-65535 | | service.worker.ports.dynamic.start | 8600 | 背景工作動態起始值 | true | 整數 | 1-65535 | | service.worker.ports.dynamic.end | 9000 | 背景工作動態結束值 | true | 整數 | 1-65535; >= 起始值 | | service.worker.annotations | {} | 背景工作服務註釋 | true | 地圖\[字串\]字串 | 不適用 | | ingress.enabled | false | 啟用輸入 | true | 布林值 | 不適用 | | ingress.className | "" | 輸入類別名稱 | true | 字串 | 現有類別 | | ingress.annotations | {} | 輸入註釋 | true | 地圖\[字串\]字串 | 不適用 | | ingress.hosts | \[{host: tableau.example.com, paths:\[...\]}\] | 輸入主機/路徑設定 | true | 主機/路徑物件陣列 | 不適用 | | ingress.tls | \[\] | 輸入 TLS 項目 | true | TLS 物件陣列 | 不適用 | | healthChecks.startup.enabled | true | 啟用啟動探查 | true | 布林值 | 不適用 | | healthChecks.startup.initialDelaySeconds | 300 | 啟動探查延遲 | true | 整數 | \>=0 | | healthChecks.startup.periodSeconds | 15 | 啟動探查週期 | true | 整數 | \>=1 | | healthChecks.startup.timeoutSeconds | 30 | 啟動探查逾時 | true | 整數 | \>=1 | | healthChecks.startup.failureThreshold | 200 | 啟動失敗閾值 | true | 整數 | \>=1 | | healthChecks.liveness.enabled | true | 啟用活躍度探查 | true | 布林值 | 不適用 | | healthChecks.liveness.initialDelaySeconds | 300 | 活躍度探查延遲 | true | 整數 | \>=0 | | healthChecks.liveness.periodSeconds | 30 | 活躍度探查週期 | true | 整數 | \>=1 | | healthChecks.liveness.timeoutSeconds | 10 | 活躍度探查逾時 | true | 整數 | \>=1 | | healthChecks.liveness.successThreshold | 1 | 活躍度成功閾值 | true | 整數 | \>=1 | | healthChecks.liveness.failureThreshold | 3 | 活躍度失敗閾值 | true | 整數 | \>=1 | | healthChecks.readiness.enabled | true | 啟用整備度探查 | true | 布林值 | 不適用 | | healthChecks.readiness.initialDelaySeconds | 300 | 整備度探查延遲 | true | 整數 | \>=0 | | healthChecks.readiness.periodSeconds | 10 | 整備度探查週期 | true | 整數 | \>=1 | | healthChecks.readiness.timeoutSeconds | 5 | 整備度探查逾時 | true | 整數 | \>=1 | | healthChecks.readiness.successThreshold | 1 | 整備度成功閾值 | true | 整數 | \>=1 | | healthChecks.readiness.failureThreshold | 3 | 整備度失敗閾值 | true | 整數 | \>=1 | | podDisruptionBudget.enabled | false | 啟用 PodDisruptionBudget | true | 布林值 | 不適用 | | podDisruptionBudget.minAvailable | 1 | 可用的最小 Pod | true | 整數或百分比字串 | \>=0 | | labels | {} | 額外通用標籤 | true | 地圖\[字串\]字串 | 不適用 | | annotations | {} | 額外通用註釋 | true | 地圖\[字串\]字串 | 不適用 | | podLabels | {} | 額外 Pod 標籤 | true | 地圖\[字串\]字串 | 不適用 | | podAnnotations | {} | 額外 Pod 註釋 | true | 地圖\[字串\]字串 | 不適用 | | hooks.autoApplyWorkerTopology.enabled | false | 啟用安裝/升級後拓撲勾點 | true | 布林值 | 不適用 | | hooks.autoApplyWorkerTopology.kubectlImage | bitnami/kubectl:latest | 勾點作業 kubectl 映像 | true | 有效的映像參考 | 不適用 | | hooks.autoApplyWorkerTopology.timeoutSeconds | 3600 | 等待背景工作時勾點逾時 | true 整數 >=60 | 整數 >=60 | \>=60 | ## 其他資源 - [Tableau Server Helm Chart - 概觀](https://help.tableau.com/current/server/zh-tw/server-in-container_helm-chart.htm) - [Tableau Server Helm Chart - 必要條件](https://help.tableau.com/current/server/zh-tw/server-helm-prerequisites.htm) - [Tableau Server Helm Chart - 部署](https://help.tableau.com/current/server/zh-tw/server-helm-deploy.htm) - [Tableau Server Helm Chart - 範例](https://help.tableau.com/current/server/zh-tw/server-helm-examples.htm) - [Tableau Server Helm Chart - 疑難排解](https://help.tableau.com/current/server/zh-tw/server-helm-troubleshooting.htm) - [Tableau Server 文件](https://help.tableau.com/current/server-linux/zh-tw/) [跳至主要內容](#main-content) # Tableau Server Helm Chart - 必要條件 **重要提示**：本文件假設您瞭解 Helm 和 Helm Chart，並且不嘗試提供詳細的規範性範例。它是為熟悉 Tableau Server 以及 Helm 和 Helm Chart的客戶設計的。 本主題會介紹使用 Helm Chart 部署 Tableau Server 所需的必要條件。 ## Helm Chart 下載和分發 Helm Chart 會作為容器中的 Tableau Server 設定工具 (`tableau-server-container-setup-tool-.tar.gz`) 中的一部分提供，並可從 [Tableau Server 下載](http://tableau.com/zh-tw/support/releases/server/latest)頁面下載。 擷取後，所需的 Helm Chart 檔案位於 `helm/tableau` 目錄中。 ## 所需工具 - 已設定為存取 Kubernetes 叢集的 `kubectl` CLI - `helm` CLI 版本 3.x 或更高版本 - 可存取 Kubernetes 叢集 (1.19+) ## 叢集要求 - 至少一個節點，具有 16GB RAM 和 4 個 CPU 核心（建議 8 個內核）。 - 已設定 StorageClass，以進行動態 PersistentVolume 佈建。 - 能夠建立負載平衡器服務或輸入資源。 ## 所需資訊 在開始之前，請確保您具有以下內容： - Tableau Server **產品金鑰** - 初始帳戶的 **TSM 管理員 `username` 和** `**password**` - 用於存取的 Tableau Server **主機名稱** ## Amazon Elastic Kubernetes Service (EKS) 必要條件 ### `efs-bootstrap` StorageClass 預設情況下，`efs-bootstrap` 不會在 EKS 中建立。對於多節點啟動程序共用，請在安裝 Helm 之前建立。 對於多節點部署，啟動程序儲存必須可佈建，然後 Pod 才能進行排程。若 `efs-bootstrap` StorageClass 不會動態佈建 EFS 磁碟區，您必須： - 預先建立靜態啟動程序 PV，並將其繫結至 `tableau-server-bootstrap` 或 - 設定 `persistence.bootstrap.createPV: true`，並提供 `valid persistence.bootstrap.pv.csi.volumeHandle`（實際 EFS ID、fs-...）。 若未執行此操作，Pod 會保持在「擱置」狀態，且 PVC 未繫結。 1. 確保叢集中已安裝 EFS CSI 驅動程式。 kubectl get csidriver efs.csi.aws.com 即使未安裝 EKS 管理的附加元件，`CSIDriver` 物件也可能存在。明確確認附加元件。 若收到 `ResourceNotFoundException` 錯誤（無附加元件），或 Pod 之後失敗，並出現掛接錯誤（如 `driver name efs.csi.aws.com not found in the list of registered CSI drivers`），請安裝 EKS 附加元件並等待狀態變為 ACTIVE，然後驗證節點外掛程式 Pod。 這是必要的，因為多節點啟動程序使用 EFS 支援的磁碟區 (ReadWriteMany)。若其他節點上沒有 EFS CSI 節點外掛程式，啟動程序 PVC 可以進行繫結，但掛接會失敗，Pod 會保持 `Init/Pending` 狀態。 若 EFS 掛接失敗，並出現： is not authorized to perform: elasticfilesystem:DescribeMountTargets 或 Failed to resolve "fs-....efs..amazonaws.com" 請使用以下其中一種補救措施： - **EKS 節點角色上的 IAM 修正**（慣用）：授與 EFS 和 EC2 讀取權限，以便掛接目標和 AZ 探索運作。從節點群組中解析節點執行個體角色名稱： aws eks list-nodegroups --cluster-name aws eks describe-nodegroup \\ \--cluster-name \\ \--nodegroup-name \\ \--query "nodegroup.nodeRole" \\ \--output text - 在 `attach-role-policy` 中**使用 IAM \*\*角色名稱\*\*** （ARN 的最後區段）： aws iam attach-role-policy \\ \--role-name \\ \--policy-arn arn:aws:iam::aws:policy/AmazonElasticFileSystemClientReadWriteAccess aws iam attach-role-policy \\ \--role-name \\ \--policy-arn arn:aws:iam::aws:policy/AmazonEC2ReadOnlyAccess - 涉及的典型權限： - elasticfilesystem:DescribeMountTargets, elasticfilesystem:DescribeFileSystems - `ec2:DescribeAvailabilityZones` （`DescribeAvailabilityZones` 出現在掛接錯誤中時通常需要此權限） - **明確掛接目標 IP**：環境中 DNS/探索受到限制時，在啟動程序 PV CSI 磁碟區屬性上設定 `mounttargetip`。 - Helm 值（`createPV: true` 路徑）： persistence: bootstrap: pv: csi: volumeAttributes: mounttargetip: "10.x.x.x" - 手動 PV 路徑 spec: csi: driver: efs.csi.aws.com volumeHandle: fs-xxxxxxxx volumeAttributes: mounttargetip: 10.x.x.x 2. 建立 `efs-bootstrap` StorageClass（範例）： apiVersion: storage.k8s.io/v1 kind: StorageClass metadata: name: efs-bootstrap provisioner: efs.csi.aws.com reclaimPolicy: Retain volumeBindingMode: Immediate allowVolumeExpansion: true 3. 選擇一個啟動程序佈建路徑（必需）： - **動態 EFS 佈建路徑**： 使用為存取點設定的 EFS CSI 動態 StorageClass（例如 `provisioningMode: efs-ap, fileSystemId` 和根據平台標準的 permissions/basePath 參數）。 - **靜態 PV 路徑**： 使用 `csi.driver: efs.csi.aws.com` 和 `csi.volumeHandle: fs-...` 手動建立 `tableau-bootstrap-pv` 然後設定： - `persistence.bootstrap.createPV: false` - `persistence.bootstrap.volumeName: tableau-bootstrap-pv` - **Helm 建立的靜態 PV 路徑**： 設定： - `persistence.bootstrap.createPV: true` - `persistence.bootstrap.pv.csi.volumeHandle: fs-...` ## 非 EKS 必要條件 ### `ReadWriteMany` StorageClass 對於未託管在 EKS 上的叢集（或若未使用 EFS），多節點啟動程序共用的關鍵要求是為啟動程序磁碟區提供一個支援 `ReadWriteMany (RWX)` 存取模式的 StorageClass。這是必需的，因為啟動程序儲存必須可佈建，然後 Pod 才能排程。 適用於 Kubernetes 的常見自我託管 RWX 儲存後端包括： - NFS（最通用，最容易進行測試） - CephFS - Longhorn（若已安裝） - GlusterFS - NetApp/其他企業儲存 您必須確保已安裝適用於所選後端的相應 CSI 驅動程式。 若要將 Tableau Server 設定為使用自訂 RWX StorageClass，請更新 Helm 值（例如， `values-multinode.yaml`），以將 `persistence.bootstrap.storageClass` 設定為 StorageClass 的名稱： persistence: # ... other persistence settings ... # Bootstrap volume (required for multi-node) bootstrap: enabled: true storageClass: "my-rwx-storage" # <--- Replace with your StorageClass name accessMode: ReadWriteMany size: 1Gi createPV: false ## 其他資源 - [Tableau Server Helm Chart - 概觀](https://help.tableau.com/current/server/zh-tw/server-in-container_helm-chart.htm) - [Tableau Server Helm Chart - 部署](https://help.tableau.com/current/server/zh-tw/server-helm-deploy.htm) - [Tableau Server Helm Chart - 疑難排解](https://help.tableau.com/current/server/zh-tw/server-helm-troubleshooting.htm) - [Helm 文件](https://helm.sh/docs/) - [Tableau Server 文件](https://help.tableau.com/current/server-linux/zh-tw/) [跳至主要內容](#main-content) # Tableau Server Helm Chart - 疑難排解 **重要提示**：本文件假設您瞭解 Helm 和 Helm Chart，並且不嘗試提供詳細的規範性範例。它是為熟悉 Tableau Server 以及 Helm 和 Helm Chart的客戶設計的。 ## 簡介 本主題會為您提供使用 Helm Chart 在 Kubernetes 上部署 Tableau Server 時診斷和解決常見問題的說明。內容涵蓋安裝問題、執行階段問題和偵錯技巧。 ## 一般疑難排解步驟 在 Kubernetes 中遇到 Tableau Server 問題時： 1. 檢查 Pod 狀態和事件 2. 檢閱容器記錄檔 3. 驗證資源可用性 4. 檢查永續性磁碟區宣告 5. 檢閱 Helm Release 狀態 6. 檢查服務和網路連線 ## Pod 未啟動 1. 檢查 Pod 狀態： kubectl get pods -l app.kubernetes.io/instance=tableau-server kubectl describe pod 2. 檢查記錄檔： kubectl logs 3. 檢查事件： kubectl get events --sort-by='.lastTimestamp' ## 永續性磁碟區問題 1. 檢查 PVC 狀態： kubectl get pvc kubectl describe pvc 2. 驗證儲存類別： kubectl get storageclass ## 產品金鑰問題 1. 驗證是否已設定產品金鑰： kubectl get secret tableau-server-secrets -o jsonpath='{.data.LICENSE\_KEY}' | base64 -d 2. 更新產品金鑰： \# Edit values.yaml and upgrade helm upgrade tableau-server ./helm/tableau-server -f ./helm/tableau-server/values.yaml ## 健康情況檢查失敗 1. 檢查健康情況檢查指令碼： kubectl exec -- /docker/alive-check kubectl exec -- /docker/server-ready-check 2. 調整健康情況檢查時間： healthChecks: liveness: initialDelaySeconds: 600 # Increase if server takes longer to start ## 多節點啟動程序問題 1. 驗證啟動程序磁碟區： kubectl get pvc | grep bootstrap 2. 檢查啟動程序檔案: kubectl exec -- ls -la /docker/config/bootstrap 3. 驗證 ReadWriteMany 存取模式： persistence: bootstrap: accessMode: ReadWriteMany # Required for multi-node 4. 驗證 EFS 靜態佈建的啟動程序 PV/PVC 繫結： kubectl get pv tableau-bootstrap-pv kubectl get pvc -n default tableau-server-bootstrap kubectl describe pv tableau-bootstrap-pv kubectl describe pvc -n default tableau-server-bootstrap 5. 若在繫結 PVC 後掛接失敗，請檢查 EFS CSI/IAM 錯誤： kubectl describe pod -n default tableau-server-primary-0 kubectl get events -n default --sort-by='.lastTimestamp' 6. `driver name efs.csi.aws.com not found` 錯誤： 安裝並驗證 EKS 附加元件，如 [Amazon Elastic Kubernetes Service (EKS) 必要條件](https://help.tableau.com/current/server/zh-tw/server-helm-prerequisites.htm#EKS-Prereq-storageclass)中所述。 7. 修正 `DescribeMountTargets` 授權失敗 - 慣用方法： aws iam attach-role-policy \\ --role-name \\ --policy-arn arn:aws:iam::aws:policy/AmazonElasticFileSystemClientReadWriteAccess 然後重新啟動受影響的 Pod（主要節點和所有背景工作節點。背景工作按標籤選取，因此會涵蓋任何復本計數。 - 備用方法 在啟動程序 PV 設定中強制掛接目標 IP： 設定 `persistence.bootstrap.pv.csi.volumeAttributes.mounttargetip`（或手動 PV `volumeAttributes.mounttargetip`），並重新套用/升級。 ## 其他資源 - [Tableau Server 文件](https://help.tableau.com/current/server-linux/zh-tw/) - [Tableau Server 記錄檔參考](https://help.tableau.com/current/server-linux/zh-tw/logs.htm) - [Kubernetes 疑難排解](https://kubernetes.io/docs/tasks/debug/) - [Helm 疑難排解](https://helm.sh/docs/faq/troubleshooting/) - [Helm 文件](https://helm.sh/docs/) [跳至主要內容](#main-content) # Tableau Server Helm Chart - 範例 **重要提示**：本文件假設您瞭解 Helm 和 Helm Chart，並且不嘗試提供詳細的規範性範例。它是為熟悉 Tableau Server 以及 Helm 和 Helm Chart的客戶設計的。 ## 簡介 本文件提供在各種設定和情境中使用 Helm Chart 部署 Tableau Server 的範例。 ## Helm Chart 下載和分發 Helm Chart 會作為容器中的 Tableau Server 設定工具 (`tableau-server-container-setup-tool-.tar.gz`) 中的一部分提供，並可從 [Tableau Server 下載](http://tableau.com/zh-tw/support/releases/server/latest)頁面下載。 擷取後，所需的 Helm Chart 檔案位於 `helm/tableau` 目錄中。 ## 範例 1：具有 NodePort 的單一節點 deploymentMode: "single" service: primary: type: NodePort secrets: licenseKey: "YOUR-LICENSE-KEY" ## 範例 2：具有負載平衡器的多節點（三個背景工作） 對於多節點部署，請使用 `worker.replicaCount ≥ 1`，其中數字為背景工作計數。下面的範例使用三個背景工作。 deploymentMode: "multinode" primary: replicaCount: 1 worker: replicaCount: 3 service: primary: type: LoadBalancer persistence: bootstrap: enabled: true accessMode: ReadWriteMany secrets: licenseKey: "YOUR-LICENSE-KEY" ### 範例 3：具有輸入和 TLS 的生產環境 deploymentMode: "single" ingress: enabled: true className: "nginx" hosts: - host: tableau.company.com paths: - path: / pathType: Prefix tls: - secretName: tableau-tls hosts: - tableau.company.com service: primary: type: ClusterIP persistence: storageClass: "fast-ssd" size: 500Gi primary: resources: limits: cpu: "8" memory: "16Gi" requests: cpu: "4" memory: "8Gi" ## 其他資源 - [Tableau Server Helm Chart - 概觀](https://help.tableau.com/current/server/zh-tw/server-in-container_helm-chart.htm) - [Tableau Server Helm Chart - 必要條件](https://help.tableau.com/current/server/zh-tw/server-helm-prerequisites.htm) - [Tableau Server Helm Chart - 部署](https://help.tableau.com/current/server/zh-tw/server-helm-deploy.htm) - [Tableau Server Helm Chart - 疑難排解](https://help.tableau.com/current/server/zh-tw/server-helm-troubleshooting.htm) - [Tableau Server Helm Chart - 範例](#) - [Tableau Server 文件](https://help.tableau.com/current/server-linux/zh-tw/) [跳至主要內容](#main-content) # Tableau Server Helm Chart - 部署 **重要提示**：本文件假設您瞭解 Helm 和 Helm Chart，並且不嘗試提供詳細的規範性範例。它是為熟悉 Tableau Server 以及 Helm 和 Helm Chart的客戶設計的。 本主題會引導您完成使用 Helm Chart 在 Kubernetes 上部署 Tableau Server 的高階步驟。 ## 必要條件 在開始之前，請確保您已滿足必要條件。有關更多資訊，請參閱 [Tableau Server Helm Chart - 必要條件](https://help.tableau.com/current/server/zh-tw/server-helm-prerequisites.htm)。 ### Helm Chart 下載 Helm Chart 會作為容器中的 Tableau Server 設定工具 (`tableau-server-container-setup-tool-.tar.gz`) 中的一部分提供，並可從 [Tableau Server 下載](http://tableau.com/zh-tw/support/releases/server/latest)頁面下載。 擷取後，所需的 Helm Chart 檔案位於 `helm/tableau` 目錄中。 ## 使用 Helm Chart 部署 Tableau Server 的快速概觀 **重要資訊**：這是使用 Helm Chart 部署 Tableau Server 的基本高階描述。這不是一個完整的程序。假設您已瞭解 Helm 和 Helm Chart。 在開始之前，請確保您已滿足使用 Helm Chart 部署 Tableau Server 的必要條件。有關詳細資訊，請參閱 [Tableau Server Helm Chart - 必要條件](https://help.tableau.com/current/server/zh-tw/server-helm-prerequisites.htm)。 ### 將產品金鑰新增至 values.yaml 編輯 `values.yaml`，並設定產品金鑰。 ### 部署單一節點 Tableau Server 透過在提示字元中執行下列命令來部署 Tableau Server 的單一節點執行個體（用 Release 命名空間替代``，例如 `tableau` 或 `default`）: helm install tableau-server ./helm/tableau-server \\ -n \\ --create-namespace \\ -f ./helm/tableau-server/values-single.yaml ### 部署多節點 Tableau Server 透過在提示字元中執行下列命令來部署 Tableau Server 的多節點執行個體，使用與上述相同的命名空間慣例： helm install tableau-server ./helm/tableau-server \\ \-n \\ \--create-namespace \\ -f ./helm/tableau-server/values-multinode.yaml ## EKS 多節點 Runbook（命名空間 + 靜態啟動程序 PV） 本部分會介紹 EKS 的作業順序：專用命名空間、EFS CSI 附加元件、節點角色上的 IAM、靜態啟動程序 PV 和 Helm。 1. 建立專用命名空間。 這必須符合啟動程序 PV 上的 `claimFef.namespace`。此範例使用 `tableau`。 kubectl create namespace tableau-server kubectl get namespace tableau 2. 確認 EFS CSI 附加元件存在。 若缺少附加元件，請建立附加元件，並等待其狀態變為 `ACTIVE`： kubectl get csidriver efs.csi.aws.com aws eks describe-addon \\ --cluster-name \\ --addon-name aws-efs-csi-driver \\ --region \\ --query 'addon.status' 3. 確認儲存類別： `efs-bootstrap` 儲存類別 — 若尚未存在，請套用。有關詳細資訊，請參閱 [Amazon Elastic Kubernetes Service (EKS) 必要條件](https://help.tableau.com/current/server/zh-tw/server-helm-prerequisites.htm#EKS-Prereq-storageclass)。 kubectl get csidriver efs.csi.aws.com aws eks describe-addon \\ --cluster-name \\ --addon-name aws-efs-csi-driver \\ --region \\ --query 'addon.status' 4. 確認靜態啟動程序 PV。 `claimRef` 必須引用 Helm Chart 建立的相同命名空間和 PVC 名稱 (`tableau-server-bootstrap`).將 `fs-...` 取代為您的 EFS 檔案系統 ID： cat > /tmp/tableau-bootstrap-pv.yaml <<'EOF' apiVersion: v1 kind: PersistentVolume metadata: name: tableau-bootstrap-pv spec: capacity: storage: 1Gi volumeMode: Filesystem accessModes: - ReadWriteMany persistentVolumeReclaimPolicy: Retain storageClassName: efs-bootstrap claimRef: namespace: tableau name: tableau-server-bootstrap csi: driver: efs.csi.aws.com volumeHandle: EOF kubectl apply -f /tmp/tableau-bootstrap-pv.yaml kubectl get pv tableau-bootstrap-pv 5. 節點執行個體角色上的 IAM。 附加 EFS 用戶端和 EC2 唯讀原則。有關從節點群組解析 `` 的資訊，請參閱 [Amazon Elastic Kubernetes Service (EKS) 必要條件](https://help.tableau.com/current/server/zh-tw/server-helm-prerequisites.htm#EKS-Prereq-storageclass)。 `efs-bootstrap` 儲存類別 — 若尚未存在，請套用。有關詳細資訊，請參閱 [Amazon Elastic Kubernetes Service (EKS) 必要條件](https://help.tableau.com/current/server/zh-tw/server-helm-prerequisites.htm#EKS-Prereq-storageclass)。 kubectl get csidriver efs.csi.aws.com aws eks describe-addon \\ --cluster-name \\ --addon-name aws-efs-csi-driver \\ --region \\ --query 'addon.status' 6. 值 在 `values-multinode.yaml`（或重疊）中，設定手動靜態 PV 模式 persistence: bootstrap: createPV: false volumeName: tableau-bootstrap-pv storageClass: efs-bootstrap 7. 確保已按要求設定 `image.repository`、`image.tag` 和密碼/授權。 8. 安裝 Helm Chart 將 Chart 安裝到與 PV `claimRef` 相同的命名空間中： helm install tableau-server ./helm/tableau-server \\ -n tableau \\ -f ./helm/tableau-server/values-multinode.yaml 9. 驗證儲存和 Pod： kubectl get pv,pvc -n tableau kubectl get pods -n tableau -w 10. 資料 PVC 狀態 資料 PVC 可能會短暫顯示 `Pending`，直到 EBS 磁碟區完成連接。所有 PVC 應轉換為 `Bound`，然後轉換為 `Running`，並最終轉換為 `READY 1/1`。 11. 拓撲（可選） 若已停用安裝後勾點，則可能需要設定節點 `clustercontroller`，並套用暫止的變更（請參閱本文件後面的「安裝後拓撲自動化（勾點）」）。您有多個 Tableau 節點時，`tsm pending-changes apply` 命令可能會導致有關索引和搜尋伺服器分佈或協調服務整體的警告。請按照[索引和搜尋伺服器](https://help.tableau.com/current/server/zh-tw/server_process_index-and-search.htm) 以及 [Tableau Server 協調服務](https://help.tableau.com/current/server/zh-tw/server_process_coordination.htm)中所述解決這些警告。 ### 自訂安裝 1. 自訂值 cp ./helm/tableau-server/values.yaml ./helm/tableau-server/my-values.yaml \# Edit ./helm/tableau-server/my-values.yaml with your configuration 2. 使用自訂值安裝 helm install tableau-server ./helm/tableau-server -f ./helm/tableau-server/my-values.yaml ## 設定 ### 部署模式 #### 單一節點部署 單一節點部署會將 Tableau Server 作為整合型容器執行。 使用 `values-single.yaml` 或設定： deploymentMode: "single" primary: replicaCount: 1 worker: replicaCount: 0 #### 多節點部署 多節點部署會執行一個主要背景工作以及一個或多個背景工作。使用 `worker.replicaCount` 設定背景工作計數— 使用 1、2 或叢集容量和 Tableau 拓撲允許的任何更高值。對於 `replicaCount: N`，Chart 會建立 `tableau-server-worker-0 … tableau-server-worker-(N-1)`。 使用 `values-multinode.yaml`（預設範例使用兩個背景工作）或明確設定： deploymentMode: "multinode" primary: replicaCount: 1 worker: replicaCount: 3 # example: three workers 拓撲對齊：`values-multinode.yaml` 隨附範例 `config.configJson` 拓撲（節點 ID，例如 `node1`、`node2`、`node3`）。若變更 `worker.replicaCount` 或重新排列服務，請更新該拓撲（以及任何相關的 Tableau 流程指派），以便 TSM 節點的數量和角色與部署相符 - 有關叢集和流程配置的資訊，請參閱 Tableau Server 說明。 ### 關鍵設定選項 #### 映像設定 image: repository: tableau\_server\_image tag: "latest" pullPolicy: IfNotPresent pullSecrets: \[\] #### 授權和密碼 secrets: licenseKey: "YOUR-LICENSE-KEY" tsmRemotePassword: "password" tableauUsername: "admin" tableauPassword: "password" 或者，可以使用環境變數進行設定： env: LICENSE\_KEY: "YOUR-LICENSE-KEY" TSM\_REMOTE\_PASSWORD: "password" TABLEAU\_USERNAME: "admin" TABLEAU\_PASSWORD: "password" 我們建議使用單獨檔案（例如，`secrets.yaml`），並使用 `-f` 開關傳遞該檔案。 `secrets.yaml`: secrets: licenseKey: "YOUR-LICENSE-KEY" tsmRemotePassword: "YOUR-TSM-PASSWORD" tableauUsername: "YOUR-ADMIN-USER" tableauPassword: "YOUR-ADMIN-PASSWORD" 使用 `secrets.yaml` 的安裝/升級範例： helm upgrade --install tableau-server ./helm/tableau-server \\ -n default \\ -f ./helm/tableau-server/values-multinode.yaml \\ -f ./helm/tableau-server/secrets.yaml **附註：**目前不支援引用預先存在的 Kubernetes 密碼（例如 s`ecrets.existingSecret`）。唯一支援的方法是使用具有單獨密碼值檔案的 Chart 值。 #### 外部 PostgreSQL 存放庫 預設情況下，Helm Chart 不會使用專用值金鑰啟用外部存放庫。 我們建議您執行以下步驟來啟用外部存放庫： 1. 部署 Chart 並確認主要 Pod 運作良好。 2. 從主要 Pod 執行 Tableau `tsm external repository`。 3. 套用暫止的變更。 範例工作流程（命令探索和套用）： \# Discover command syntax for your Tableau version kubectl exec -n default tableau-server-primary-0 -- sh -lc 'tsm topology external-services repository enable --help' \# After enabling external repository with Tableau-supported args/options: kubectl exec -n default tableau-server-primary-0 -- sh -lc 'tsm pending-changes apply -iw --ignore-prompt' kubectl exec -n default tableau-server-primary-0 -- sh -lc 'tsm status -v' 附註： - 外部存放庫設定特定於 Tableau 版本（SSL 模式、容錯移轉選項、認證欄位）。有關更多資訊，請參閱 [Tableau Server 外部存放庫](https://help.tableau.com/current/server/zh-tw/server_external_repo.htm)和 [tsm topology](https://help.tableau.com/current/server/zh-tw/cli_topology_tsm.htm)。 - 對於客戶部署，請將資料庫認證儲存在 Kubernetes 密碼中，並避免在 shell 歷程記錄中使用純文字。 #### 永續性儲存 persistence: enabled: true storageClass: "standard" accessMode: ReadWriteOnce size: 100Gi # Bootstrap volume (required for multi-node) bootstrap: enabled: true storageClass: "standard" accessMode: ReadWriteMany size: 1Gi createPV: false 對於使用靜態 EFS CSI 的叢集（例如，具有 `mounttargetip`），Helm 可以管理啟動程序 PV 和 PVC： persistence: bootstrap: enabled: true storageClass: "efs-bootstrap" accessMode: ReadWriteMany size: 1Gi createPV: true permissionsFix: enabled: true pv: name: "tableau-bootstrap-pv" csi: driver: efs.csi.aws.com volumeHandle: "fs-xxxxxxxx" volumeAttributes: mounttargetip: "10.x.x.x" `permissionsFix.enabled` 會新增一個初始化容器 `chown/chmods /docker/config/bootstrap`，以便 Tableau 程序 (UID/GID 999:998) 可以在預設為 `root:root` 的共用 EFS 掛接上寫入 `bootstrap.json`。 `createPV: true` 時，Chart 會根據值（例如 `tableau-bootstrap-pv`）建立啟動程序 PV，並將 `tableau-server-bootstrap` PVC 繫結至該 PV。 若手動管理啟動程序 PV，請先建立 `tableau-bootstrap-pv`，然後使用 `createPV: false` 和 `volumeName: tableau-bootstrap-pv:` 安裝 Helm apiVersion: v1 kind: PersistentVolume metadata: name: tableau-bootstrap-pv spec: capacity: storage: 1Gi volumeMode: Filesystem accessModes: - ReadWriteMany persistentVolumeReclaimPolicy: Retain storageClassName: efs-bootstrap csi: driver: efs.csi.aws.com volumeHandle: fs-xxxxxxxx volumeAttributes: mounttargetip: 10.x.x.x kubectl apply -f tableau-bootstrap-pv.yaml kubectl get pv tableau-bootstrap-pv #### 資源限制 primary: resources: limits: cpu: "4" memory: "8Gi" requests: cpu: "2" memory: "4Gi" worker: resources: limits: cpu: "4" memory: "8Gi" requests: cpu: "2" memory: "4Gi" #### 服務設定 service: primary: type: ClusterIP # or NodePort, LoadBalancer ports: http: 80 https: 8080 tsm: 8850 #### 輸入 ingress: enabled: true className: "nginx" hosts: - host: tableau.example.com paths: - path: / pathType: Prefix tls: - secretName: tableau-tls hosts: - tableau.example.com #### 輸入設定 Runbook（範例：NGINX 輸入控制器） 1. 在叢集中安裝輸入控制器（啟用 Chart 輸入之前需要）。 2. 在值檔案中設定輸入值： ingress: enabled: true className: "nginx" annotations: nginx.ingress.kubernetes.io/proxy-body-size: "64m" nginx.ingress.kubernetes.io/proxy-read-timeout: "3600" nginx.ingress.kubernetes.io/proxy-send-timeout: "3600" hosts: - host: tableau.example.com paths: - path: / pathType: Prefix tls: - secretName: tableau-tls hosts: - tableau.example.com 3. 建立 DNS 記錄，將 tableau.example.com 指向輸入/負載平衡器端點。 4. 在 Release 命名空間中建立 TLS 密碼（或使用 cert-manager）。 5. 部署/升級 Chart 並驗證輸入： helm upgrade --install tableau-server ./helm/tableau-server -n default -f ./helm/tableau-server/values.yaml kubectl get ingress -n default kubectl describe ingress tableau-server 有關詳情，請參閱： - [Kubernetes 輸入概念](https://kubernetes.io/docs/concepts/services-networking/ingress/) - [ingress-nginx 部署指南](https://kubernetes.github.io/ingress-nginx/deploy/) - [cert-manager 入門指南](https://cert-manager.io/docs/tutorials/getting-started-aks-letsencrypt/) #### 健康情況檢查 Chart 支援啟動、活躍度和整備度探查。啟動探查允許在活躍度/整備度執行之前進行長時間的首次初始化（例如，failureThreshold: 200 × periodSeconds）： healthChecks: startup: enabled: true initialDelaySeconds: 300 periodSeconds: 15 timeoutSeconds: 30 failureThreshold: 200 liveness: enabled: true initialDelaySeconds: 300 periodSeconds: 30 timeoutSeconds: 10 failureThreshold: 3 readiness: enabled: true initialDelaySeconds: 300 periodSeconds: 10 timeoutSeconds: 5 failureThreshold: 3 對於多節點背景工作 Pod，Chart 預設 `worker.healthChecks.enabled: false`，以避免在背景工作執行有限的程序集（例如，僅管理員代理程式 + 叢集控制器）時出現錯誤的探查失敗。 ### 使用情況 #### 存取 Tableau Server 安裝後，根據服務設定存取 Tableau Server： - **叢集 IP**：使用連接埠轉送或輸入 - **節點連接埠**：透過 `:` 存取 - **負載平衡器**：透過提供的外部 IP 存取 #### 使用 TSM 命令 \# Get pod name POD\_NAME=$(kubectl get pods -l app.kubernetes.io/component=primary -o jsonpath='{.items\[0\].metadata.name}') # Run tabcmd kubectl exec -it $POD\_NAME -- tsm status kubectl exec -it $POD\_NAME -- tsm configuration get #### 使用 tabcmd \# Get pod name POD\_NAME=$(kubectl get pods -l app.kubernetes.io/component=primary -o jsonpath='{.items\[0\].metadata.name}') # Run tabcmd kubectl exec -it $POD\_NAME -- tabcmd login -u admin -p password kubectl exec -it $POD\_NAME -- tabcmd sites #### 檢視 Tableau Server 記錄檔 \# Primary node logs kubectl logs -l app.kubernetes.io/component=primary -f # Worker node logs (multi-node) kubectl logs -l app.kubernetes.io/component=worker -f # All logs kubectl logs -l app.kubernetes.io/instance=tableau-server -f #### Shell 存取 \# Get pod name POD\_NAME=$(kubectl get pods -l app.kubernetes.io/component=primary -o jsonpath='{.items\[0\].metadata.name}') # Open shell kubectl exec -it $POD\_NAME -- /bin/bash ### 升級 #### 升級 Tableau Server Helm Chart helm upgrade tableau-server ./helm/tableau-server -f ./helm/tableau-server/values.yaml #### 使用新值升級 helm upgrade tableau-server ./helm/tableau-server -f ./helm/tableau-server/new-values.yaml ### 安裝後拓撲自動化（勾點） 對於多節點安裝，此 Chart 可以執行安裝後/升級後勾點作業： - 等待背景工作節點在 TSM 中註冊 - 設定背景工作 `clustercontroller` 程序指派 - 變更暫止時，執行 `tsm pending-changes apply -iw --ignore-prompt` 設定： hooks: autoApplyWorkerTopology: enabled: true kubectlImage: "bitnami/kubectl:latest" timeoutSeconds: 3600 預設： - 在 `values.yaml` 中停用 - 在 `values-multinode.yaml` 中，檢查 `hooks.autoApplyWorkerTopology.enabled`（可能為 `true` 或 `false` ，根據 Release 而定；對於自動背景工作 `clustercontroller` 設定，啟用） 驗證勾點執行： kubectl get jobs -n default kubectl get pods -n default -l job-name=tableau-server-hook-topology kubectl logs -n default job/tableau-server-hook-topology 勾點停用或失敗時手動遞補 — 對每個背景工作 TSM 節點執行 `tsm topology set-process`（有 N 個背景工作時，通常為節點 2 到節點 (1+N)）；使用 `tsm topology list-nodes -v` 確認 ID）： kubectl exec -n default tableau-server-primary-0 -- sh -lc ' tsm topology set-process -n node2 -pr clustercontroller -c 1 tsm topology set-process -n node3 -pr clustercontroller -c 1 # Add one line per additional worker node, e.g. for four workers: # tsm topology set-process -n node4 -pr clustercontroller -c 1 # tsm topology set-process -n node5 -pr clustercontroller -c 1 tsm pending-changes apply -iw --ignore-prompt tsm topology list-nodes -v tsm status -v **附註**：對於 `tsm pending-changes apply`，使用 `-iw`。`-ig` 選項在此環境中無效。 ### 解除安裝 helm uninstall tableau-server **警告**：這將刪除所有資源，包括永續性磁碟區。請務必在解除安裝之前備份資料。 #### 驗證步驟 在 Release 之前或變更 Chart 時，請執行： 1. Lint: helm lint helm/tableau-server -f helm/tableau-server/values-single.yaml helm lint helm/tableau-server -f helm/tableau-server/values-multinode.yaml 2. 範本（試執行）： helm template tableau-server helm/tableau-server -f helm/tableau-server/values-single.yaml helm template tableau-server helm/tableau-server -f helm/tableau-server/values-multinode.yaml 3. 安裝測試（可選）： 1. 在測試命名空間中，使用 values-single 或 values-multinode 執行 `helm install`。 2. 執行 `kubectl rollout status`（對於 StatefulSet，等待 Pod 就緒）和基本煙霧檢查（例如 `tsm status` 或透過 HTTP 連線至服務）。 有關詳細的疑難排解資訊，請參閱 [Tableau Server Helm Chart - 疑難排解](https://help.tableau.com/current/server/zh-tw/server-helm-troubleshooting.htm)。 ## 其他資源 - [Tableau Server 文件](https://help.tableau.com/current/server-linux/zh-tw/) - [Helm 文件](https://helm.sh/docs/) - [Helm Chart 升級](https://helm.sh/docs/helm/helm_upgrade/) [跳至主要內容](#main-content) # HTTP 401 – 未授權 若收到 **401- 未授權錯誤**，可能是由於以下原因之一：  - 可能已將 Tableau Server 設定為將 Active Directory 用於 SSPI。如果您的 Web 伺服器使用 SSPI，則無需設定受信任身體驗證。您可以嵌入檢視，這樣，只要您的使用者是 Tableau. Server 授權使用者並且是您的 Active Directory 的成員，他們就可以存取這些檢視。有關詳細資訊，請參閱 [tsm authentication sspi ](https://help.tableau.com/current/server/zh-tw/cli_authentication_tsm.htm#TSMSspi)。 **附註：**只能在 Windows 版 Tableau Server 上設定 SSPI。 - 或在部署 Tableau Server 後收到 **302 - 重新導向錯誤**，則您編寫用以建構用戶端 URL 的受信任票證程式碼可能未針對兩部分票證 URL 格式的帳戶進行更新。有關詳細資訊，請參閱[從 Tableau Server 獲取票證](https://help.tableau.com/current/server/zh-tw/trusted_auth_webrequ.htm)。 [跳至主要內容](#main-content) # HTTP 404 – 未找到檔案 如果您的程式碼引用不存在的 Tableau Server URL，就可能會收到此錯誤。例如，您的 Web 伺服器可能會構造一個網頁嘗試檢索時找不到的無效 URL。 產生此錯誤的另一個原因是，您是否未輸入[向 Tableau Server 新增受信任的 IP 位址或主機名稱稱](https://help.tableau.com/current/server/zh-tw/trusted_auth_trustIP.htm) 中所指定的 Web 伺服器。如果您已輸入信任的 Web 伺服器，請確認 IP 位址或主機名稱是否正確。 [跳至主要內容](#main-content) # HTTP 回應標頭 Tableau Server 支援 [OWASP Secure Headers Project](https://owasp.org/www-project-secure-headers/#div-headers) 中指定的部分回應標頭。 本主題說明如何針對 Tableau Server 設定下列回應標頭： - HTTP 嚴格傳輸安全性 (HSTS) - Referrer-Policy - X-Content-Type-Options - X-XSS-Protection Tableau Server 也支援內容安全性原則 (CSP) 標準。本主題內容並未涵蓋 CSP 設定。請參閱[內容安全性原則](https://help.tableau.com/current/server/zh-tw/security_csp.htm)。 ## 設定 HTTP 回應標頭 所有回應標頭都可使用 [tsm configuration set](https://help.tableau.com/current/server/zh-tw/cli_configuration_tsm.htm#TSMSet) 命令設定。 在完成回應標頭設定後，請執行 [tsm pending-changes apply](https://help.tableau.com/current/server/zh-tw/cli_pending-changes.htm#pending-changes-apply)。 如果擱置組態需要重新啟動伺服器，`pending-changes apply` 命令將顯示提示，讓您知道即將重新啟動。即使伺服器已停止，也會顯示提示，但在這種情況下不會重新啟動。您可以使用 `--ignore-prompt` 選項隱藏提示，但這樣做不會改變重新啟動行為。如果變更不需要重新啟動，則不會出現提示即可套用變更。有關詳情，請參閱 [tsm pending-changes apply](https://help.tableau.com/current/server/zh-tw/cli_pending-changes.htm#pending-changes-apply)。 ## HTTP 嚴格傳輸安全性 (HSTS) HSTS 會強制連線至 Tableau Server 的用戶端使用 HTTPS 進行連線。有關詳情，請參閱 OWASP 項目 [HTTP 嚴格傳輸安全性 (HSTS)](https://owasp.org/www-project-secure-headers/#div-headers)。 ### 選項 gateway.http.hsts 預設值：`false` HTTP 嚴格傳輸安全性 (HSTS) 頭強制瀏覽器在啟用它的域上使用 HTTPS。 gateway.http.hsts\_options 預設值：`"max-age=31536000"` 預設情況下，會為一年（31536000 秒）期間設定 HSTS 原則。此時間段指定瀏覽器將透過 HTTPS 存取伺服器的時間量。 ## Referrer-Policy 自 2019.2 之後的版本，Tableau Server 即加入可設定 Referrer-Policy HTTP 標頭行為的功能。此原則將藉由預設行為啟用，並針對所有「視為安全」的連線加入原始 URL（原則 `no-referrer-when-downgrade`）。在舊版中，Referrer-Policy 標頭未包含在由 Tableau Server 傳送的回應中。有關 Referrer-Policy 支援的各種原則選項的詳情，請參閱 OWASP 項目 [Referrer-Policy](https://owasp.org/www-project-secure-headers/#div-headers)。 ### 選項 gateway.http.referrer\_policy\_enabled 預設值：`true` 若要排除由 Tableau Server 傳送的 Referrer-Policy 標頭，請將此值設為 `false`。 gateway.http.referrer\_policy 預設值：`no-referrer-when-downgrade` 此選項會為 Tableau Server 定義參照網址原則。您可指定 OWASP 頁面上 [Referrer-Policy](https://owasp.org/www-project-secure-headers/#div-headers) 資料表中所列的任何原則值字串。 ## X-Content-Type-Options X-Content-Type-Options 回應 HTTP 頭指定 Content-Type 頭中的 MIME 類型不應由瀏覽器變更。在某些情況下，如果未指定 MIME 類型，則瀏覽器可能會透過評估有效負載的特徵來嘗試確定 MIME 類型。然後瀏覽器將相應地顯示內容。這個過程被稱為 \[嗅探\] 。誤解 MIME 類型可能會導致安全性漏洞。 有關詳情，請參閱 OWASP 項目 [X-Content-Type-Options](https://owasp.org/www-project-secure-headers/#div-headers)。 ### 選項 gateway.http.x\_content\_type\_nosniff 預設值：`true` 預設情況下，系統使用此選項將 X-Content-Type-Options HTTP 頭設定為 \[nosniff\] 。 ## X-XSS-Protection HTTP X-XSS-Protection 回應頭會傳送到瀏覽器以啟用跨網站指令碼 (XSS) 保護。在使用者在瀏覽器中停用XSS 保護的情況下，X-XSS-Protection 回應頭會覆蓋設定。 有關詳情，請參閱 OWASP 項目 [X-XSS-Protection](https://owasp.org/www-project-secure-headers/#div-headers)。 ### 選項 gateway.http.x\_xss\_protection 預設值：`true` 預設情況下，系統使用此選項啟用了 X-XSS-Protection 回應頭。 ## 此區段的其他文章 [跳至主要內容](#main-content) # Hyper 多工緩衝處理事件 Hyper 查詢被多工緩衝處理到磁碟時，_Hyper 多工緩衝處理_事件將被記錄為警告。通常，當沒有足夠的可用記憶體並且 Tableau Server 資料引擎流程透過暫時寫入磁碟而轉移到多工緩衝處理時，就會發生這種情況。[Tableau Server 資料引擎](https://help.tableau.com/current/server/zh-tw/data_engine2_intro.htm)主題在記憶體使用部分中對此進行了更詳細的描述。 ## 誰可以執行此動作 Resource Monitoring Tool 管理員或具備**伺服器/環境管理**角色的 Resource Monitoring Tool 使用者。 [跳至主要內容](#main-content) # Hyper 查詢處理（Beta 版） **請注意：**由於 Hyper 查詢處理是 Beta 版本，因此名稱可能會在正式發佈之前變更。 客戶資料平台 (CDP) 連線器現在由 Hyper 查詢處理引擎提供支援。它支援具有快速資料查詢處理的互動式分析，並簡化連線到資料的體驗，以加快資料探索。在使用即時連線和 Tableau 資料擷取從 Tableau 查詢客戶資料平台資料時，Hyper 查詢處理引擎加快查詢時間。 > [!IMPORTANT] > > **Beta 功能：**Hyper 查詢處理 Beta 功能免費提供額外功能。可以自行決定選擇試用此服務。對 Beta 服務的任何使用均受[協議與條件](https://www.salesforce.com/company/legal/agreements/)中規定的適用 Beta 服務條款約束。 ## 在 Tableau Server 中啟用 Hyper 查詢處理 完成以下步驟以啟用 Hyper 查詢處理。 1.連線至 Salesforce CDP。 2.按照螢幕上的說明安裝 hyper jdbc 驅動程式。 `-Salesforce-cdp-hyper-beta-1.15.0.jar` 或從[此處](https://github.com/forcedotcom/Salesforce-CDP-jdbc/releases)下載 .jar 檔。 3.根據系統將下載的檔案移動到以下任一目錄路徑。 Windows - `C:\Program Files\Tableau\Drivers` macOS - `/Users/[user]/Library/Tableau/Drivers` 4.將驅動程式移動到正確的路徑後，再次連線。客戶資料平台連線器已準備好在 Tableau Server 中使用。 **請注意：**Hyper 查詢處理支援是 Beta 版。它適用於 Tableau Server。Tableau Desktop 和 Tableau Online 將從 2022 年 12 月開始提供支援。這些日期可能會發生變更。 ### 另請參閱 - Tableau 說明：[將 Tableau Server 連線到客戶資料平台](https://help.tableau.com/current/server-linux/zh-tw/config_oauth_sfdc_cdp.htm) - Salesforce 說明：[在客戶資料平台中設定 Tableau](https://help.salesforce.com/s/articleView?id=sf.c360_a_set_up_tableau_connected_app.htm&type=5&language=zh_TW) - Salesforce 說明：[在 Tableau 中啟用客戶資料平台](https://help.salesforce.com/s/articleView?id=sf.c360_a_enable_tableau_connector.htm&type=5&language=zh_TW) - Salesforce 說明：[在 Tableau 中使用客戶資料平台資料](https://help.salesforce.com/s/articleView?id=sf.c360_a_using_customer_360_aud_data_in_tableau.htm&type=5&language=zh_TW) [跳至主要內容](#main-content) # identityStore 實體 Tableau Server 需要識別身份存放區來存放使用者和群組資訊。在首次設定識別身份存放區之前，請檢閱[驗證](https://help.tableau.com/current/server/zh-tw/security_auth.htm)和[身分存放區](https://help.tableau.com/current/server/zh-tw/plan_identity_store.htm)主題。在 Tableau Server 上安裝了識別身份存放區後，如果不重新安裝伺服器，則無法變更識別身份存放區。 **重要事項**所有實體選項均大小寫視為相異。 ## 開始之前 檢閱以下資訊： - 如果您將不使用本機識別身份存放區，則將使用某種版本的 LDAP。在這種情況下，請與您的目錄/LDAP 管理員一起針對 LDAP 模式設定 Tableau Server 並繫結需求。 - Tableau Server 設定已針對 Active Directory 進行優化。如果安裝到 Active Directory 中，我們建議使用 [設定初始節點設定](https://help.tableau.com/current/server/zh-tw/config_general.htm#tsm-ui-steps)設定識別身份存放區。 - LDAP 繫結與使用者驗證無關。例如，您可以將 Tableau Server 設定為使用簡單繫結來向 LDAP 目錄進行驗證，然後將 Tableau Server 設定為在安裝後使用 Kerberos 進行使用者驗證。 - 不要透過不安全的連線使用簡單繫結連線到 LDAP。預設情況下，使用簡單繫結的 LDAP 會傳送純文字中的資料。請使用 LDAPS 來加密含有簡單繫結的流量。請參閱[設定到 LDAP 外部身分存放區的加密通道](https://help.tableau.com/current/server/zh-tw/config_encrypt_ldap.htm)。 - 若要為 Tableau Server 服務中的 LDAP 繫結使用 Kerberos 驗證，您將需要用於 GSSAPI 繫結的 keytab 檔案，如以上部分所述。另請參閱[瞭解 keytab 需求](https://help.tableau.com/current/server/zh-tw/kerberos_keytab.htm)。在 Kerberos 的上下文中，您只需在 Tableau Server 的基本安裝過程中進行 GSSAPI 繫結。安裝伺服器之後，您可以隨後[為使用者驗證設定 Kerberos](https://help.tableau.com/current/server/zh-tw/config_kerberos.htm) 以及[將 Kerberos 委派給資料來源](https://help.tableau.com/current/server/zh-tw/kerberos_delegation.htm)。 - 在本主題中，我們區分了 _LDAP_（用於連線到目錄服務的協定）和 _LDAP 伺服器_（目錄服務的實現）。例如，`slapd` 是 OpenLDAP 項目中的 LDAP 伺服器。 - 請在初始化伺服器之前驗證 LDAP 設定，參閱[設定初始節點設定](https://help.tableau.com/current/server/zh-tw/config_general.htm)。 - 在初始設定中僅匯入 JSON 組態檔。如果在匯入 JSON 組態檔並初始化 Tableau Server 後需要進行 LDAP 變更，請勿嘗試重新匯入 JSON 檔案。相反，請透過原生 tsm 命令或 `tsm configuration set` 進行個別的金鑰變更。請參閱 [外部識別身分存放區設定參考資料](https://help.tableau.com/current/server/zh-tw/ldap_config.htm)。 ## 組態範本 本節中的 JSON 範本用於設定具有不同身分識別存放區情況的 Tableau Server。除非您正在設定本機身分識別存放區，否則您必須選取並編輯 LDAP 環境專用的組態檔範本。 不妨考慮使用 [Tableau 身分識別存放區組態工具](https://tagyoureit.github.io/tableau-identitystore-config-tool/)來協助產生 LDAP JSON 組態檔。Tableau 不支援工具本身。但使用工具建立的 JSON 檔案，而不是手動建立檔案，不會變更伺服器的支援狀態。 選取識別身份存放區設定範本以編輯： - 本機 - LDAP - Active Directory - OpenLDAP - GSSAPI 繫結 - OpenLDAP - 簡單繫結 有關組態檔、實體和金鑰的更多說明，請參閱[組態檔範例](https://help.tableau.com/current/server/zh-tw/config_file_example.htm)。 ### 本機 如果組織還沒有用於使用者驗證的 Active Directory 或 LDAP 伺服器，請將「本機」設定為識別身份存放區類型。選取「本機」作為識別身份存放區類型時，可以使用 Tableau Server 建立和管理使用者。 針對本機身分識別存放區設定 Tableau Server 的另一種方法，是在安裝過程中執行設定 GUI 並選取「本機」。請參閱[設定初始節點設定](https://help.tableau.com/current/server/zh-tw/config_general.htm)。 { "configEntities": { "identityStore": { "\_type": "identityStoreType", "type": "local" } } } ![](/tableau/current/zh-tw/server/zh-tw/Img/Road-sign-alert.png) ### 重要資訊 下面的 LDAP 設定範本是一些範例。所呈現的範本將不會在您的組織中設定 LDAP 連線。您必須與您的目錄管理員一起編輯 LDAP 範本值才能成功部署。 此外，configEntities 中引用的所有檔案均必須位於本機電腦上。不要指定 UNC 路徑。 ### LDAP - Active Directory Tableau Server 設定已針對 Active Directory 進行優化。若要安裝到 Active Directory 中，請使用 [設定初始節點設定](https://help.tableau.com/current/server/zh-tw/config_general.htm#tsm-ui-steps)設定身分存放區。 需要與 Active Directory 的加密連線。請參閱[設定到 LDAP 外部身分存放區的加密通道](https://help.tableau.com/current/server/zh-tw/config_encrypt_ldap.htm)。 若出於某些原因無法將身分存放區設定為使用 TSM Web 介面與 Active Directory 通訊，請使用此 JSON 範本將 Tableau Server 設定為連線到 Active Directory。此範本使用 GSSAPI (Kerberos) 繫結來向 Active Directory 驗證 Tableau Server 服務的身分。Tableau Server 包括對 Active Directory 架構的支援。因此，如果將 `"directoryServiceType"` 選項設定為 `"activedirectory"`，則不需要在 `"identityStoreSchemaType"` 選項中提供架構資訊。 { "configEntities":{ "identityStore": { "\_type": "identityStoreType", "type": "activedirectory", "domain": "your-domain.lan", "nickname": "YOUR-DOMAIN-NICKNAME", "directoryServiceType": "activedirectory", "bind": "gssapi", "kerberosKeytab": "", "kerberosConfig": "/etc/krb5.conf", "kerberosPrincipal": "your-principal@YOUR.DOMAIN" } } } 我們建議您使用 GSSAPI 繫結到 Active Directory。但是，您可以使用簡單的繫結和 LDAPS 進行連線。要使用簡單繫結進行連線，請將 `bind` 變更為 `simple`，刪除三個 Kerberos 實體，並新增 `port`/`sslPort`、`username` 和 `password` 選項。以下範例顯示了 Active Directory 以及簡單繫結 json。 { "configEntities":{ "identityStore": { "\_type": "identityStoreType", "type": "activedirectory", "domain": "your-domain.lan", "nickname": "YOUR-DOMAIN-NICKNAME", "directoryServiceType": "activedirectory", "hostname": "optional-ldap-server", "sslPort": "636", "bind": "simple", "username": "username", "password": "password" } } } ### OpenLDAP - GSSAPI 繫結 使用下面的範本來設定包含 GSSAPI 繫結的 OpenLDAP。如果您的組織正在執行 Active Directory，請不要使用此範本。如果要安裝到 Active Directory 中，請使用下面的 LDAP - Active Directory 範本。 大多數情況下，將 OpenLDAP 與 GSSAPI (Kerberos) 配合使用的組織將使用 keytab 檔案來存放認證。在以下範例中，keytab 檔案用於存放驗證認證。 但是，您可以透過 `username` 和 `password` 實體提供認證。 您還可以同時指定 keytab 以及使用者名和密碼對。在這種情況下，Tableau Server 將嘗試使用 keytab，但是如果由於任何原因導致驗證失敗，它將回退並使用使用者名和密碼認證。 { "configEntities":{ "identityStore": { "\_type": "identityStoreType", "type": "activedirectory", "domain": "your-domain.lan", "nickname": "YOUR-DOMAIN-NICKNAME", "directoryServiceType": "openldap", "bind": "gssapi", "kerberosKeytab": "", "kerberosConfig": "/etc/krb5.conf", "kerberosPrincipal": "your-principal@YOUR.DOMAIN", "identityStoreSchemaType": { "userBaseFilter": "(objectClass=inetOrgPerson)", "userUsername": "user", "userDisplayName": "displayname", "userEmail": "email", "userCertificate": "certificate", "userThumbnail": "thumbnail", "userJpegPhoto": "photo", "groupBaseFilter": "(objectClass=groupofNames)", "groupName": "groupname", "groupEmail": "groupemail", "groupDescription": "groupdescription", "member": "member", "distinguishedNameAttribute": "", "serverSideSorting": "", "rangeRetrieval": "", "userClassNames": \["inetOrgPerson","someClass2"\], "groupClassNames": \["groupOfUniqueNames1","groupOfUniqueNames2"\] } } } } ### OpenLDAP - 簡單繫結 { "configEntities":{ "identityStore": { "\_type": "identityStoreType", "type": "activedirectory", "domain": "my.root", "nickname": "", "hostname": "optional-ldap-server", "port": "389", "directoryServiceType": "openldap", "bind": "simple", "username": "cn=username,dc=your,dc=domain", "password": "password", "identityStoreSchemaType": { "userBaseFilter": "(objectClass=inetOrgPerson)", "userUsername": "user", "userDisplayName": "displayname", "userEmail": "email", "userCertificate": "certificate", "userThumbnail": "thumbnail", "userJpegPhoto": "photo", "groupBaseFilter": "(objectClass=groupofNames)", "groupName": "groupname", "groupEmail": "groupemail", "groupDescription": "groupdescription", "member": "member", "distinguishedNameAttribute": "", "serverSideSorting": "", "rangeRetrieval": "", "userClassNames": \["inetOrgPerson","someClass2"\], "groupClassNames": \["groupOfUniqueNames1","groupOfUniqueNames2"\] } } } } ## 設定範本參考 ### 共用識別身份存放區選項 type 您想要在其中存放使用者身分資訊的位置。`local` 或 `activedirectory`。（如果要連線到任何 LDAP 伺服器，請選取 `activedirectory`。） domain 您在其中安裝 Tableau Server 的電腦的網域。 nickname 網域的昵稱。這在 Windows 環境中也稱為 NetBIOS 名稱。 所有 LDAP 實體都需要 `nickname` 選項。如果您的組織不需要昵稱/NetBIOS，則傳遞一個空白鍵，例如：`"nickname": ""`。 ### LDAP GSSAPI 繫結選項 directoryservicetype 要連線到的目錄服務的類型。`activedirectory` 或 `openldap`。 kerberosConfig 本機電腦上 Kerberos 組態檔的路徑。如果要安裝到 Active Directory 目錄，我們不建議使用現有 Kerberos 組態檔或聯接域的電腦上已有的 keytab 檔案。請參閱[身分存放區](https://help.tableau.com/current/server/zh-tw/plan_identity_store.htm)。 kerberosKeytab 本機電腦上 Kerberos keytab 檔案的路徑。建議您建立一個包含專門用於 Tableau Server 服務的金鑰的 keytab 檔案，並且不要與電腦上的其他應用程式共用此 keytab 檔案。 kerberosPrincipal Tableau Server 在主機電腦上的服務主要名稱。Keytab 必須具有此主體的使用權限。不要使用系統的現有 keytab 。相反，我們建議您註冊一個新的服務主要名稱。若要查看給定 keytab 中的主體，請執行 `klist -k` 命令。請參閱[瞭解 keytab 需求](https://help.tableau.com/current/server/zh-tw/kerberos_keytab.htm)。 ### LDAP 簡單繫結選項 directoryservicetype 要連線到的目錄服務的類型。`activedirectory` 或 `openldap`。 hostname LDAP 伺服器的主機名稱。您可以針對該值輸入主機名稱或 IP 位址。您在這裡指定的主機將僅用於主要網域上的使用者/群組查詢。若使用者/群組查詢在其他網域中（不在主要網域中），Tableau Server 將不會使用此值，而是會查詢 DNS，以識別適當的網域控制器。 port 使用此選項指定 LDAP 伺服器的非安全埠。明文通常使用 389。 sslPort 可使用此選項啟用 LDAPS，並指定 LDAP 伺服器的安全連接埠。LDAPS 通常使用埠 636。若要使用 LDAPS，還必須指定主機名稱選項。請參閱[設定到 LDAP 外部身分存放區的加密通道](https://help.tableau.com/current/server/zh-tw/config_encrypt_ldap.htm)。 username 要用於連線到目錄服務的使用者名。您指定的帳戶必須擁有查詢目錄服務的權限。對於 Active Directory，請輸入使用者名稱，例如，`jsmith`。對於 LDAP 伺服器，請輸入進行連線所要使用的使用者可分辨名稱 (DN)。例如，您可能會輸入 `cn=username,dc=your-local-domain,dc=lan`。 password 要用於連線到 LDAP 伺服器的使用者的密碼。 ### 共用 LDAP 選項 您可以針對一般 LDAP、OpenLDAP 或 Active Directory 實作設定以下選項。 bind 將驗證通訊從 Tableau Server 服務傳遞到 LDAP 目錄服務的所需方式。為 GSSAPI (Kerberos) 輸入 `gssapi`。 domain 在 Active Directory 環境中，指定安裝 Tableau Server 所在的網域，例如「example.lan」。 對於非 AD LDAP︰您為此值輸入的字串會顯示在使用者管理工具的「網域」欄中。您可以輸入任意字串，但金鑰不能為空白。 根 僅限 LDAP。請勿為 Active Directory 指定。 如果您在 LDAP 根中未使用 dc 元件，或者您想要指定更複雜的根，則需要設定 LDAP 根。使用「o=my,u=root」格式。例如，對於網域，`example.lan` 根則為 `"o=example,u=lan"`。 membersRetrievalPageSize 此選項會決定 LDAP 查詢傳回的最大結果數量。 例如，考慮 Tableau Server 匯入包含 50,000 個使用者的 LDAP 群組的情景。在單一作業中嘗試匯入如此大量的使用者不是最佳作法。當此選項設定為 1500 時，Tableau Server 將在第一次回應時先匯入 1500 個使用者。在處理這些使用者之後，Tableau Server 會從 LDAP 伺服器要求下一批 1500 個使用者，以此類推。 建議您僅根據您的 LDAP 伺服器需求修改此選項。 ### `identityStoreSchemaType` 選項 如果設定與 LDAP 伺服器的 LDAP 連線，您可以在 `identityStoreSchemaType` 物件中輸入特定於 LDAP 伺服器的架構資訊。 **重要資訊：**如果您要連線到 Active Directory (`"directoryServiceType": "activedirectory"`)，則請勿設定這些選項。 userBaseFilter 要用於 Tableau Server 使用者的篩選條件。例如，您可以指定物件類屬性和組織單元屬性。 userUsername 與 LDAP 伺服器上的使用者名對應的屬性。 userDisplayName 與 LDAP 伺服器上的使用者顯示名稱對應的屬性。 userEmail 與 LDAP 伺服器上的使用者電子郵件地址對應的屬性。 userCertificate 與 LDAP 伺服器上的使用者憑證對應的屬性。 userThumbnail 與 LDAP 伺服器上的使用者縮圖影像對應的屬性。 userJpegPhoto 與 LDAP 伺服器上的使用者設定檔影像對應的屬性。 groupBaseFilter 要用於 Tableau Server 使用者群組的篩選條件。例如，您可以指定物件類屬性和組織單元屬性。 groupName 與 LDAP 伺服器上的群組名稱對應的屬性。 groupEmail 與 LDAP 伺服器上的群組電子郵件地址對應的屬性。 groupDescription 與 LDAP 伺服器上的群組說明對應的屬性。 member 用於描述群組中使用者清單的屬性。 distinguishedNameAttribute 用於存放使用者的可分辨名稱的屬性。此屬性是可選屬性，但它大大提高了 LDAP 查詢的性能。 serverSideSorting 是否為查詢結果的伺服器端排序設定了 LDAP 伺服器。如果 LDAP 伺服器支援伺服器端排序，請將此選項設定為 `true`。如果您不確定 LDAP 伺服器是否支援這種情況，請輸入 `false`，不當設定可能會造成錯誤。 rangeRetrieval LDAP 伺服器是否設定為返回請求查詢結果的範圍。這意味著具有多個使用者的群組將以小型集合要求，而不是所有使用者一次性要求。支援範圍擷取的 LDAP 伺服器在執行大型查詢時效能更好。如果 LDAP 伺服器支援範圍擷取，請將此選項設定為 `true`。如果您不確定 LDAP 伺服器是否支援範圍擷取，請輸入 `false`，不當設定可能會造成錯誤。 groupClassNames 預設情況下，Tableau Server 會尋找包含字串「group」的 LDAP 組物件類別。如果您的 LDAP 組物件不適合預設類別名稱，請透過設定此值來覆寫預設值。您可以提供由逗號分隔的多個類別名稱。此選項採用字串清單，這需要以引號傳遞每個類別，並用逗號（無空格）在括號中分隔。例如：`["basegroup","othergroup"]`。 userClassNames 預設情況下，Tableau Server 會尋找包含字串 “user” 和 “inetOrgPerson” 的 LDAP 使用者物件類。如果您的 LDAP 使用者物件不使用這些預設類別名稱，請透過設定此值來覆寫預設值。您可以提供由逗號分隔的多個類別名稱。此選項採用字串清單，這需要以引號傳遞每個類別，並用逗號（無空格）在括號中分隔。例如：`["userclass1",userclass2”]`。 ## 匯入 JSON 檔案 在完成編輯 JSON 檔案之後，請使用以下命令傳遞 JSON 檔案並套用設定： `tsm settings import -f path-to-file.json` `tsm pending-changes apply` 如果擱置組態需要重新啟動伺服器，`pending-changes apply` 命令將顯示提示，讓您知道即將重新啟動。即使伺服器已停止，也會顯示提示，但在這種情況下不會重新啟動。您可以使用 `--ignore-prompt` 選項隱藏提示，但這樣做不會改變重新啟動行為。如果變更不需要重新啟動，則不會出現提示即可套用變更。有關詳情，請參閱 [tsm pending-changes apply](https://help.tableau.com/current/server/zh-tw/cli_pending-changes.htm#pending-changes-apply)。 [跳至主要內容](#main-content) # Kerberos Kerberos 是一種三向的驗證協定，它依賴於使用名為 \[金鑰分發中心\] (KDC) 的受信任協力廠商網路服務來驗證電腦的身分，以及透過交換 _\[票證\]_ 在電腦之間提供安全的連線。這些票證在電腦或服務之間提供相互驗證，並驗證某電腦或服務是否有權存取另一電腦或服務。 Tableau Server 支援 Active Directory Kerberos 環境中的 Kerberos 驗證（Tableau Server 使用者的驗證由 Kerberos 處理）。 **附註**：  - Tableau Server 中的 Kerberos 支援是針對使用者驗證的。它並不處理與 Tableau Server 內容（例如工作簿）有關的內部權限和授權。 - 身分識別汲取是一款工具，旨在補充與支援您在組織中可能需要的其他使用者佈建與驗證選項，僅支援 OpenID Connect (OIDC) 驗證。有關詳情，請參閱[使用身分集區佈建和驗證使用者](https://help.tableau.com/current/server/zh-tw/identity_pools.htm)。 ## Kerberos 的工作原理 當在 Active Directory (AD) 環境中將 Tableau Server 設定為使用 Kerberos 時，AD 網域控制站還充當 Kerberos 金鑰分發中心 (KDC)，並向域中的其他節點頒發票證授予票證。由 KDC 驗證身分的使用者在連線到 Tableau Server 時不必接受進一步的驗證。 下面是驗證工作流的圖示。 ![演示 Tableau Server 使用者驗證流程的圖表。](/tableau/current/zh-tw/server/zh-tw/Img/kerb_client_server.png)
中心有一個白色數字 1 的藍色圓圈。使用者登入到其 Active Directory 域。中心有一個白色數字 2 的藍色圓圈。Kerberos KDC 驗證使用者的身分並將 [票證授予票證] (TGT) 傳送到使用者的電腦。
中心有一個白色數字 3 的藍色圓圈。使用者在 Tableau Desktop 或 Web 瀏覽器中連線到 Tableau Server。中心有一個白色數字 4 的藍色圓圈。

Tableau Server 驗證使用者。

## 此區段的其他文章 [跳至主要內容](#main-content) # Kerberos SSO 的 Tableau 用戶端支援 本文說明根據特定 Tableau 用戶端和作業系統，將 Kerberos 單一登入 (SSO) 與 Tableau Server 搭配使用的一些要求和細微差別。本文涵蓋的 Tableau 用戶端包括一般 Web 瀏覽器、Tableau Desktop，以及 Tableau Mobile 應用程式。 ## 一般瀏覽器用戶端支援 要使用基於瀏覽器的 Kerberos 單一登入 (SSO)，必須滿足以下條件： - 必須在 Tableau Server 上啟用 Kerberos - 使用者必須擁有登入 Tableau Server 的使用者名稱和密碼。 **附註：**Kerberos SSO 失敗後，如果設定了回退功能，則使用者可以回退至其使用者名稱和密碼認證。 - 必須在用戶端電腦或行動裝置上透過 Kerberos 向 Active Directory 驗證使用者的身分。具體而言，這意味著他們具有 Kerberos 票證授予票證 (TGT)。 ## Tableau Desktop 和瀏覽器用戶端 在 Windows 或 Mac 上，您可以使用 Kerberos SSO 從以下版本的 Tableau Desktop 或瀏覽器登入 Tableau Server。在說明的地方，可能需要額外的設定。 Windows - Tableau Desktop 支援 10.3 或更高版本。 - Internet Explorer - 支援，可能需要設定 - 請參閱[附註 1](#note1) - Chrome - 支援，可能需要設定 - 請參閱[附註 1](#note1) - Firefox - 需要設定 - 請參閱[附註 2](#note2) - Safari - 不支援 Mac OS X - Tableau Desktop 10.3 或更高版本 - Safari - 支援 - Chrome - 請參閱附註 [3](#note3) - Firefox - 請參閱附註 [2](#note2) - Internet Explorer - 不支援 ## Tableau Mobile 應用程式用戶端 iOS 或 Andoid 裝置上，您可以使用以下 Tableau Mobile 或行動瀏覽器版本用 Kerberos 驗證到 Tableau Server： iOS - Tableau Mobile 應用 - 請參考 [附註 4](#note4) - Safari - 請參閱附註 [4](#note4) - Chrome - 不支援 Android - 請參閱附註 [5](#note5) - Tableau Mobile 應用 - Chrome ## 作業系統和瀏覽器的附註 下列附註說明特定作業系統與用戶端組合的設定需求或問題。 ### 附註 1：Windows 桌面上的 Internet Explorer 或 Chrome Internet Explorer 和 Chrome 上都支援 Kerberos SSO，但需要在 Windows Internet 選項中進行設定： 1. 啟用整合 Windows 驗證。 2. 驗證 Tableau Server URL 是否位於本機 Intranet 區域中。 Internet Explorer 有時可以偵測內部網路區域並設定此設定。如果其未偵測和設定 Tableau Server URL，則您必須將 URL 手動新增到本機 Intranet 區域。 啟用整合 Windows 驗證： 1. 在 Windows 主控台中，開啟 **\[Internet 選項\]**。 2. 在 **\[高級\]** 索引標籤上，向下滾動到 **\[安全\]** 部分。 3. 選取 **\[啟用整合 Windows 驗證\]** 。 4. 按一下 **\[套用\]**。 進行驗證或將 Tableau Server URL 新增到本機 Intranet 區域： 1. 在 Windows 主控台中，開啟 **\[Internet 選項\]**。 2. 在 **\[安全\]** 索引標籤上上，選取 **\[本機 Intranet\]** ，然後按一下 **\[網站\]** 。 3. 在 **\[本機 Intranet\]** 對話方塊上，按一下 **\[高級\]** 。 在 **\[網站\]** 欄位中，尋找內部 Tableau Server URL。 在某些組織中，IT 管理員將使用萬用字元 (\*) 來指定內部 URL。例如，以下 URL 包括本機 Intranet 區域中內部 `example.lan` 命名空間內的所有伺服器： `https://*.example.lan` 下列影像顯示特定的 `https://tableau.example.lan` URL。 ![從區域新增或移除站台的本機內部網路對話方塊。](/tableau/current/zh-tw/server/zh-tw/Img/kerberos_intranet_zone.png) 4. 如果 Tableau Server URL　或萬用字元 URL 未在 **\[網站\]** 欄位中指定，請在 **\[將該網站新增到區域\]** 欄位中輸入 Tableau Server URL，按一下 **\[新增\]** ，然後按一下 **\[確定\]**。 如果 \[網站\] 中已列出 Tableau Server URL，您可以直接關閉對話方塊。 ### 附註 2：Windows 或 Mac OS X 桌面上的 Firefox 您可以在 Windows 或 Mac 上使用 Firefox 搭配使用 Kerberos SSO 登入 Tableau Server。若要執行此操作，您必須完成以下步驟設定 Firefox 以支援 Kerberos： 1. 在 Firefox 的位址欄中輸入 `about:config`。 2. 出現有關變更高級設定的警告時，按一下 **\[我承諾我會小心\]** 。 3. 在 \[搜尋\] 框中輸入 `negotiate`。 ![Firefox 中的範例 Tableau Server 設定頁面。](/tableau/current/zh-tw/server/zh-tw/Img/kerberos_firefox.png) 4. 按兩下 **\[network.negotiate-auth.allow-non-fqdn\]** ，然後將值設定為 **true**。 5. 按兩下 **\[network.negotiate-auth.trusted-uris\]** ，並輸入 Tableau Server 的完全限定功能變數名稱 (FQDN)。例如，`tableau.example.com`。 ### 附註 3：Mac OS X 桌面上的 Chrome 根據 Chrome 文件，當您使用以下命令從終端視窗中啟動 Chrome 時，Kerberos SSO 可在 Mac 上工作： `open -a "Google Chrome.app" --args --auth-server-whitelist="tableauserver.example.com"` 其中，`tableauserver.example.com` 是您的環境中 Tableau Server 的 URL。 但我們在測試中發現不一致的結果。因此，如果您要在 Mac 上使用 Kerberos SSO，建議您使用 Safari 或 Firefox。有關詳情，請參閱 The Chromium Projects 網站上 [HTTP authentication（HTTP 驗證）](http://www.chromium.org/developers/design-documents/http-authentication)中的 _\[Integrated Authentication\]（整合驗證）_部分。 **附註：**使用者仍然可以在 Mac OS X 使用 Chrome 登入 Tableau Server，但可能會提示使用者輸入其使用者名和密碼（單一登入將不起作用）。 ### 附註 4： iOS 上的 Mobile Safari 或 Tableau Mobile 如果針對 Kerberos 設定了 iOS，則支援 Kerberos SSO。iOS 裝置必須已安裝 Kerberos 驗證設定檔案。此操作通常由企業 IT 團隊完成。Tableau 支援團隊無法協助您針對 Kerberos 設定 iOS 裝置。請參考_《Tableau Mobile 部署指南》_中的[驗證主題](https://help.tableau.com/current/mobile/mobile-admin/zh-tw/admin_mobile_sso.htm#kerberos-ios-and-tableau-server-only)。 ### 附註 5：Android 平台 Android 作業系統上的 Tableau Mobile 應用不支援 Kerberos SSO。如果 Kerberos 針對 SSO 無法接受使用者名稱與密碼驗證設定了回退功能，則仍然可以使用 Android 裝置與 Tableau Mobile 應用程式或支援的行動瀏覽器連線至 Tableau Server。在這種情況下，使用者在存取 Tableau Server 時，系統會提示使用者輸入其認證，而不是使用 Kerberos 進行驗證。 ### 詳細資料 - 《_Tableau Mobile 部署指南》_：[控制 Tableau Mobile 的驗證和存取](https://help.tableau.com/current/mobile/mobile-admin/zh-tw/admin_mobile_sso.htm) - 請參考 [Tableau Server 技術規格](https://www.tableau.com/zh-tw/products/techspecs#paragraph-id--211678)的 _Web 瀏覽器_ [跳至主要內容](#main-content) # Kerberos 疑難排解 本主題中的故障排除建議分為與伺服器上的單一登入 (SSO) 相關的問題以及委派資料來源的問題。 ## 單一登入 Tableau Server 在 Kerberos SSO 環境中，從網頁瀏覽器或 Tableau Desktop 登入 Tableau Server 的使用者可能會看到指示 Tableau Server 無法自動登入（使用單一登入）的訊息。並且會建議使用者提供 Tableau Server 使用者名稱和密碼。 ![](/tableau/current/zh-tw/server/zh-tw/Img/kerb_auth_failed.png) ### 用戶端電腦上的登入錯誤疑難排解 - **輸入使用者名稱和密碼**—若要檢查使用者的 Tableau Server 一般存取權限，請輸入使用者的名稱和密碼以登入。 如果認證失敗，使用者可能不是 Tableau Server 上的使用者。如果要讓 Kerberos SSO 運作，使用者必須能夠存取 Tableau Server，而且必須由 Active Directory 授與票證授與票證 (TGT)（如此清單之後的 **TGT** 項目中所述）。 - **檢查其他使用者的 SSO 認證**—嘗試使用其他使用者帳戶透過 SSO 連線到 Tableau Server。如果所有使用者均受影響，則問題可能在 Kerberos 設定中。 - **使用伺服器電腦以外的電腦**當您登入 localhost 時，Kerberos SSO 不會運作。用戶端必須從 Tableau Server 電腦以外的電腦進行連線。 - **使用伺服器名稱，而非IP位址**—如果您輸入 IP 位址作為 Tableau Server 名稱，請使用 Kerberos SSO。此外，用於存取 Tableau Server 的伺服器名稱必須與 Kerberos 設定中使用的名稱相符（請參閱下面的**[金鑰表條目](#keytable)**）。 - **確認用戶端電腦是否具有 TGT**—用戶端電腦必須具有 Active Directory 網域的 TGT（票證授予票證）。不支援代理授予票證的限制委派。 若要確認用戶端電腦具有 TGT，請執行以下操作： - 在 Windows 上開啟命令提示字元，然後鍵入以下內容：`klist tgt` - 在 Mac 上開啟終端機視窗，然後鍵入以下內容：`klist` 輸出應顯示正嘗試接受 Tableau Server 驗證的使用者/域的 TGT。 在以下情況下，用戶端電腦可能沒有 TGT： - 用戶端電腦使用 VPN 連線 - 用戶端電腦沒有聯接到域（例如，它是在工作時使用的非工作用電腦） - 使用者使用本機（非域）帳戶登入到電腦。 - 電腦是沒有將 Active Directory 用作網路帳戶伺服器的 Mac 電腦 - **確認瀏覽器版本和設定**—對於 Web 瀏覽器登入，請確保瀏覽器支援 Kerberos，並視需要正確設定。 - Internet Explorer (IE) 和 Chrome 立即可在 Windows 上執行 - Safari 立即可在 Mac 上執行。 - Firefox 需要額外的設定 有關詳情，請參閱[Kerberos SSO 的 Tableau 用戶端支援](https://help.tableau.com/current/server/zh-tw/kerberos_browser.htm)。 ### 伺服器上的登入錯誤疑難排解 如果無法透過用戶端電腦解決問題，則下面的步驟是在執行 Tableau Server 的電腦上排除故障。管理員可以使用請求 ID 在 Tableau Server 上的 Apache 記錄中尋找登入嘗試。 - **記錄檔** — 檢視 Apache error.log 中的錯誤（含有失敗登入嘗試的確切日期/時間）。 - 在 ziplog 存檔案中，這些記錄位於 \\httpd 資料夾下。 - 在 Tableau Server 上，這些記錄位於 \\data\\tabsvc\\logs\\httpd\\ 資料夾中。 - **鍵表條目** — 如果 error.log 項目包含訊息，「沒有與 HTTP/..@ 相符的鍵表條目」，例如： `[Fri Oct 24 10:58:46.087683 2014] [:error] [pid 2104:tid 4776] [client 10.10.1.62:56789] gss_acquire_cred() failed: Unspecified GSS failure. Minor code may provide more information (, No key table entry found matching HTTP/servername.domain.com@)` 此錯誤是由以下任意項不相符造成的： - **Tableau Server URL** - 用戶端電腦用於存取伺服器的 URL。 這是您鍵入 Tableau Desktop 或瀏覽器地址欄的名稱。它可以是短名稱 (`http://servername`)，也可以是完全限定功能變數名稱 (`http://servername.domain.com`) ![網際網路瀏覽器網址列中顯示的 Tableau 伺服器名稱範例。](/tableau/current/zh-tw/server/zh-tw/Img/kerb_servername_1.png) ![Tableau Server 登入對話方塊中顯示的 Tableau 伺服器名稱範例。](/tableau/current/zh-tw/server/zh-tw/Img/kerb_servername_2.png) - 伺服器 IP 位址的 **DNS 反向尋找** 它使用 IP 位址尋找 DNS 名稱。 在命令提示符處，鍵入： `ping servername` 利用在 ping 伺服器之後返回的 IP 位址執行 DNS 反向尋找，鍵入： `nslookup ` nslookup 命令將傳回 IP 位址的網路資訊。在回應的_非權威回答_部分，請確認完整網域名稱 (FQDN) 符合以下設定值：  - Kerberos .keytab 檔案 - 伺服器的服務主要名稱 (SPN) 有關設定這些值的詳情，請參閱[瞭解 keytab 需求](https://help.tableau.com/current/server/zh-tw/kerberos_keytab.htm)。 ### 驗證 Kerberos 設定指令碼 您可能需要修改用來產生環境變數之 keytab 檔案的 ktpass 命令。請檢閱知識庫文章中的疑難排解步驟：[無法產生 Tableau Server 的 Kerberos 指令碼設定](https://kb.tableau.com/articles/issue/unable-to-generate-kerberos-script-configuration-for-tableau-server?lang=zh-tw)。 ## 資料來源 SSO ### 委派的資料來源存取失敗 檢查 vizqlserver 記錄檔案中是否有 \[workgroup-auth-mode\] ： - 在 ziplog 存檔案中，這些記錄位於 \\vizqlserver\\Logs 資料夾中 - 在 Tableau Server 上， 這些記錄位於 \\data\\tabsvc\\vizqlserver\\Logs 資料夾中 在記錄檔案中尋找 \[workgroup-auth-mode\] 。它應顯示 \[kerberos-impersonate\] 而不是 \[as-is\] 。 ### Kerberos 委派多域設定 Tableau Server 可從其他 Active Directory 域中委派使用者。如果您的資料庫使用 MIT Kerberos，您需要將 Kerberos 主體調整為資料庫使用者對應。具體而言，您將需要使用使用者將從中連線的每個 Kerberos 域的規則更新 krb5.conf。使用 `[realms]` 部分中的 `auth_to_local` 標記將主體名稱對應到本機使用者名。 例如，假設一個使用者為 `EXAMPLE\jsmith`，其 Kerberos 主體為 `jsmith@EXAMPLE.LAN`。在這種情況下，Tableau Server 將指定委派使用者 `jsmith@EXAMPLE`。Tableau Server 將使用 Active Directory 舊域別名作為 Kerberos 域。 目標資料庫可能已經有諸如以下規則，用於將使用者 `jsmith@EXAMPLE.LAN` 對應到資料庫使用者 `jsmith`。 `EXAMPLE.LAN = {    RULE:[1:$1@$0](https://help.tableau.com/current/server/zh-tw/.*@EXAMPLE.LAN)s/@.*//    DEFAULT }` 為了支援委派，您必須新增另一條規則，將 jsmith@EXAMPLE 對應到資料庫使用者： `EXAMPLE.LAN = {    RULE:[1:$1@$0](https://help.tableau.com/current/server/zh-tw/.*@EXAMPLE.LAN)s/@.*//    RULE:[1:$1@$0](https://help.tableau.com/current/server/zh-tw/.*@EXAMPLE)s/@.*//    DEFAULT }` 有關詳情，請參閱 MIT Kerberos 文件主題 [krb5.conf](https://web.mit.edu/kerberos/krb5-1.12/doc/admin/conf_files/krb5_conf.html)。 ### 跨域約束委派 在 KDC 執行於 Windows 2012 之前的 Windows Server 上的某些跨域方案中，委派可能會失敗。您可能會看到以下錯誤： - SQL Server Network Interfaces：The system cannot contact a domain controller to service the authentication request.Please try again later.（系統無法聯繫網域控制站來為驗證請求提供服務。請稍後再試。） - SQL 伺服器原生用戶端：無法產生 SSPI 內容。 - 網域控制站會傳回：`KRB-ERR-POLICY error with a status STATUS_CROSSREALM_DELEGATION_FAILURE (0xc000040b)`。 \[跨域\] 是指 Tableau Server 使用不同服務帳戶執行在與資料來源不同的網域中的情形。例如： - Tableau Server 使用 DomainA 服務帳戶執行在 DomainA 上。 - SQL Server 使用 DomainB 服務帳戶執行在 DomainB 上。 只有當兩個伺服器位於同一域中時，傳統約束委派才能工作。使用者可能來自其他域。 如果您看到上述錯誤，則您的 Active Directory 管理員應移除在委派帳戶上設定的任何傳統約束委派以啟用此方案。可以使用 Active Directory 管理工具或透過移除與 Active Directory 屬性 `msDS-AllowedToDelegateTo.` 關聯的值來移除委派。 如果想要隨跨域委派一起保留現有單域委派，則您必須使用基於資源的約束委派對兩者進行設定。 有關 Kerberos 和限制委派的詳情，請參閱 Microsoft 主題 [Kerberos 限制委派概觀](https://docs.microsoft.com/zh-tw/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/jj553400\(v=ws.11\))。 ### Web 製作 有兩個 Web 製作案例並不支援 Kerberos 委派：「連線到 Web 上的資料」和「在 Web 上建立資料來源」功能尚不支援委派。具體而言，如果您在使用 Web 製作的位置建立了使用 Kerberos 的資料來源，該資料來源將會使用「執行身分」服務帳戶驗證。如果您要使用 Kerberos 委派建立資料來源，則必須使用 Tableau Desktop 進行發佈。有關「執行身分」服務帳戶的詳情，請參閱[使用「執行身分」服務帳戶進行資料存取](https://help.tableau.com/current/server/zh-tw/runas_access.htm)。 [跳至主要內容](#main-content) # Kerberos 需求 您可以為在 Active Directory 環境中執行的 Tableau Server 設定 Kerberos 驗證。 ## 一般要求 - 外部負載平衡器/代理伺服器：如果打算在具有外部負載平衡器 (ELB) 或代理伺服器的環境中將 Tableau Server 與 Kerberos 一起使用，必須先對它們進行設定，再使用 Tableau Server 設定公用程式設定 Kerberos。請參閱[為 Tableau Server 設定 Proxy 與負載平衡器](https://help.tableau.com/current/server/zh-tw/proxy.htm)。 - iOS 瀏覽器支援：如果安裝了指定使用者 Kerberos 身分的設定檔案，則 iOS 使用者可以將 Kerberos 驗證與 Mobile Safari 一起使用。請參閱 Tableau Mobile 說明中的[針對 Kerberos 支援設定 iOS 裝置](https://help.tableau.com/current/mobile/mobile-admin/zh-tw/admin_mobile_sso.htm)。有關 Kerberos SSO 的瀏覽器支援的詳細資料，請參閱[Kerberos SSO 的 Tableau 用戶端支援](https://help.tableau.com/current/server/zh-tw/kerberos_browser.htm)。 - Tableau Server 支援資料來源驗證的限制委派。在這種情況下，會專門授予 Tableau 資料存取帳戶對目標資料庫 SPN 的委派權。不支援非約束委派。 - 必須為 Kerberos 驗證設定受支援的資料來源（SQL Server、MSAS、PostgreSQL、Hive/Impala 和 Teradata）。 - 一個 Keytab 檔案，該檔設定為具有 Tableau Server 使用者驗證所用的服務提供程式名稱。有關詳情，請參閱[瞭解 keytab 需求](https://help.tableau.com/current/server/zh-tw/kerberos_keytab.htm#kerb)。 - 從 Tableau Server 2021.2.25、2021.3.24、2021.4.19、2022.1.15、2022.3.7 和 2023.1.3（或更高版本）開始，請確保使用 AES-128 或 AES-256 密碼建立 keytab 檔案。不再支援 RC4 和 3DES 密碼。有關詳細資料，請參閱 Tableau 知識庫中的[「Tableau Server 無法自動對您進行驗證」](https://kb.tableau.com/articles/Issue/tableau-server-could-not-authenticate-you-automatically-error-occurs-when-attempting-to-automatically-login-using-kerberos-sso-after-tableau-server-upgrade?lang=zh-tw)。 ## Active Directory 要求 您必須滿足以下要求才能在 Active Directory 環境中將 Tableau Server 與 Kerberos 一起執行： - Tableau Server 必須使用 Active Directory (AD) 進行驗證。 - 網域必須是 AD 2003 或更高版本的網域才能實現 Tableau Server 的 Kerberos 連線。 - 智慧卡支援：如果使用者使用智慧卡登入到其工作站，而且此登入導致透過 Active Directory 向使用者授予 Kerberos TGT，則智慧卡受支援。 - 單一登入 (SSO)：在使用者登入到其電腦時，必須透過 Active Directory 授予其 Kerberos 票證授予票證 (TGT)。這對於聯接域的 Windows 電腦和使用 AD 作為網路帳戶伺服器的 Mac 電腦是標準行為。有關使用 Mac 電腦和 Active Directory 的詳細資訊，請參閱 Apple 知識庫的[將 Mac 聯接到網路帳戶伺服器](https://support.apple.com/guide/mac-help/join-your-mac-to-a-network-account-server-mh27627/mac)。 ### Kerberos 委派 對於 Kerberos 委派方案，需要以下內容： - 如果網域是 AD 2003 或更高版本，則支援單域 Kerberos 委派。使用者、Tableau Server 和後端資料庫必須位於同一個網域中。 - 如果網域是 AD 2008，則提供的跨域支援有限。如果滿足以下條件，則可以委派來自其他網域的使用者。Tableau Server 和後端資料庫必須位於同一個網域中，並且在 Tableau Server 所在的網域與使用者的網域之間需要雙向信任。 - 如果網域是 2012 或更高版本，則支援完整的跨域委派。AD 2012 R2 是慣用的版本，因為該版本有用於設定約束委派的對話方塊，而 2012 非 R2 需要手動設定。 [跳至主要內容](#main-content) # kerberosSettings 實體 在設定 Kerberos 驗證之前，請檢閱[Kerberos 需求](https://help.tableau.com/current/server/zh-tw/kerberos_requ.htm)。 使用下面的組態檔範本建立一個 json 檔案。使用適當的值填寫各個選項之後，使用以下命令傳遞 json 檔案並應用設定： `tsm settings import -f /path/to/file.json` `tsm pending-changes apply` 如果擱置組態需要重新啟動伺服器，`pending-changes apply` 命令將顯示提示，讓您知道即將重新啟動。即使伺服器已停止，也會顯示提示，但在這種情況下不會重新啟動。您可以使用 `--ignore-prompt` 選項隱藏提示，但這樣做不會改變重新啟動行為。如果變更不需要重新啟動，則不會出現提示即可套用變更。有關詳情，請參閱 [tsm pending-changes apply](https://help.tableau.com/current/server/zh-tw/cli_pending-changes.htm#pending-changes-apply)。 ## 組態範本 使用此範本來設定 Kerberos 設定。 **重要事項**所有實體選項均大小寫視為相異。 有關組態檔、實體和金鑰的更多說明，請參閱[組態檔範例](https://help.tableau.com/current/server/zh-tw/config_file_example.htm)。 完成 Kerberos 驗證的初始設定後，使用[tsm authentication kerberos ](https://help.tableau.com/current/server/zh-tw/cli_authentication_tsm.htm#TSMKerb) 子類別來設定其他值。 { "configEntities": { "kerberosSettings": { "\_type": "kerberosSettingsType", "enabled": "true", "keytabFile": "/path/to/keytab\_file" } } } ## 組態檔參考 以下清單包括可隨 `"kerberosSettings"` 實體集一起包括的所有選項。 選項 值 enabled 選項：`true` 或 `false`。 啟用 Kerberos 驗證 keytabFile 必需。 有效 Kerberos Keytab 檔案的路徑。 dBClasses 全域認證的資料庫類的逗號分隔清單。連線到 Cloudera 資料來源時可能必需。 [跳至主要內容](#main-content) # Microsoft Azure 上的 Tableau Server 疑難排解 ## 這是封存內容 我們會繼續支援共用雲端部署，但不再更新協力廠商共用雲端部署的內容。 有關最新的 Tableau Server 部署內容，請參閱 Tableau Server 說明中的 [部署](https://help.tableau.com/current/server/zh-tw/install.htm)部分。 對於有存取權的客戶，我們建議使用 Tableau Cloud。有關更多詳細資訊，請參閱： - [Tableau Cloud 手動移轉指南](https://help.tableau.com/current/guides/migration/zh-tw/emg_intro.htm) - [Tableau Cloud 管理員試用版](https://help.tableau.com/current/server-linux/zh-tw/install.htm) - [Tableau Cloud：管理員入門](https://www.tableau.com/zh-tw/learn/get-started/online-admin) ## 簡介 如果在使用 Microsoft Azure 虛擬機器 (VM) 上的 Tableau Server 或在安裝之後存取 Tableau Server 遇到問題，請檢閱以下疑難排解提示。 - **無法使用 RDP 連線到 VM** 以下一個或多個問題可能會使您無法使用 RDP 連線到 VM： - 確保使用正確的認證。 - 選取 \[**Other User**\] （其他使用者）選項，並在該處輸入您的認證。 - 確保使用在 Microsoft Azure VM 上有效的使用者名。例如，如果您使用管理員帳戶 **myuser** 建立了執行個體，請在 RDP 對話方塊中輸入 **.\\myuser** 作為使用者名。 - **無法從遠端瀏覽器中存取伺服器** 以下一個或多個問題可能會使您無法從遠端瀏覽器中存取伺服器： - 登入到執行個體並確保伺服器正在執行。 - 在執行個體中，開啟瀏覽器，並以本機方式存取伺服器（例如，使用 http://localhost 或 http://localhost:port，其中 port 是伺服器設定為在其上偵聽的埠號）。 - 在 Microsoft Azure 儀表板中，確保設定一個端點以允許進入執行個體的 HTTP 流量。 **附註：**您無法使用 Windows ping 公用程式來測試與執行個體的連線。從公共 Internet 中使用時，ping 公用程式會始終報告超時。 - **您收到以下錯誤訊息：Tableau Server 未獲授權** 如果在未先停用授權的情況下關閉執行個體，則可能出現此錯誤。有關詳情，請參閱[重新啟動託管 Tableau Server 的虛擬機器後發生「Tableau Server 未授權」的錯誤](https://kb.tableau.com/articles/issue/error-tableau-server-is-unlicensed-after-rebooting-virtual-aws-machine-hosting-tableau-server?lang=zh-tw)。 - **Tableau Server 未使用所有 CPU 核心** 在使用 Tableau Server 核心授權時，可能會出現以下一個或多個症狀： - 在安裝 Tableau Server 時，對於執行 Tableau Server 的電腦，安裝程式顯示的核心數可能比預期顯示的核心數少。 - 在 Tableau Server 的 \[授權\] 頁面上， \[正在使用的授權\] 下列出的核心數比預期顯示的核心數少。 - 執行 `tsm licenses list` 時，Tableau Server 報告的核心數可能比預期顯示的核心數少。 有關詳情，請參閱 [Tableau Server 未識別所有核心](http://kb.tableau.com/articles/issue/not-all-cores-recognized-by-tableau-server?lang=zh-tw)。 - **執行 Windows 的 Microsoft Azure VM 上安裝的 Tableau Server 效能緩慢** 在 Windows Azure 虛擬機器上安裝 Tableau Server 之後，可能會出現效能緩慢或系統不穩定的問題。 - 驗證執行 Azure 的虛擬機器是否滿足 Tableau Server 的最低系統需求。 - 為了獲得最佳效能，Tableau Server 應安裝在低延遲磁碟上。有關設定具有低延遲磁碟的虛擬機器的詳細資訊，請參閱 Microsoft Azure 網站上的 [VM 的高效能高級存儲和託管磁碟](https://docs.microsoft.com/zh-tw/azure/virtual-machines/windows/premium-storage)。 [跳至主要內容](#main-content) # Microsoft Azure 上的 Tableau Server 部署選項 ## 這是封存內容 我們會繼續支援共用雲端部署，但不再更新協力廠商共用雲端部署的內容。 有關最新的 Tableau Server 部署內容，請參閱 Tableau Server 說明中的 [部署](https://help.tableau.com/current/server/zh-tw/install.htm)部分。 對於有存取權的客戶，我們建議使用 Tableau Cloud。有關更多詳細資訊，請參閱： - [Tableau Cloud 手動移轉指南](https://help.tableau.com/current/guides/migration/zh-tw/emg_intro.htm) - [Tableau Cloud 管理員試用版](https://help.tableau.com/current/server-linux/zh-tw/install.htm) - [Tableau Cloud：管理員入門](https://www.tableau.com/zh-tw/learn/get-started/online-admin) ## 簡介 您可以在 Microsoft Azure 上部署 Tableau Server – 透過自行部署、使用 Azure 快速啟動部署在執行 Linux 的單一 VM 上，或是透過 Azure Marketplace VM 上的預先設定部署。下表顯示了每個選項之間的差異。
Tableau ServerAzure VM 自行部署Azure 快速啟動Azure Marketplace VM
生產準備就緒表示成功的標記圖示。紅色 X 圖示。紅色 X 圖示。
不需要更換 VM 也可升級 Tableau表示成功的標記圖示。表示成功的標記圖示。紅色 X 圖示。
在 Linux 上安裝表示成功的標記圖示。表示成功的標記圖示。紅色 X 圖示。
在 Windows 上安裝表示成功的標記圖示。紅色 X 圖示。表示成功的標記圖示。
縱向擴展表示成功的標記圖示。表示成功的標記圖示。表示成功的標記圖示。
橫向擴展（新增節點）表示成功的標記圖示。表示成功的標記圖示。紅色 X 圖示。
Active Directory 支援表示成功的標記圖示。紅色 X 圖示。表示成功的標記圖示。
BYOL 授權表示成功的標記圖示。表示成功的標記圖示。表示成功的標記圖示。
下麵詳細介紹了每個部署選項： - **自行部署到 Azure VM** – 提供最大的靈活性和多種選項以根據您的環境自訂 Tableau Server。如果您啟動的系統只會短暫執行一段時間（即用於測試或評估），請改為使用 Azure Marketplace VM 上的 Tableau Server。 對於開始簡單但以後可能需要擴展的開發、測試和生產環境，建議將 Tableau Server 自行部署到 Azure VM。 有關自行部署的詳細資訊，請參閱[在 Microsoft Azure 上自行部署單個 Tableau Server](https://help.tableau.com/current/server/zh-tw/ts_azure_single_server.htm)。有關在分散式環境中進行部署的詳細資訊，請參閱[在分散式環境中向 Microsoft Azure 自行部署 Tableau Server](https://help.tableau.com/current/server/zh-tw/ts_azure_multiple_server.htm)。 - **Azure 快速啟動上的 Tableau Server** – 使用 Azure Resource Manager 範本，將 Tableau Server 安裝在執行 CentOS、Redhat Enterprise Linux (RHEL) 或 Ubuntu Server 的獨立 Azure VM 上，並包含所有必要的基礎結構元素。此部署原則可讓您快速上手並限制整體成本。 對於一開始很簡單但以後可能需要縱向擴展或橫向擴展的開發、測試和生產環境，建議使用 Azure 快速啟動上的 Tableau Server。可以使用自己的授權 (BYOL) 或[聯絡銷售人員](https://www.tableau.com/zh-tw/about/contact#contact_sales)以獲取產品金鑰。您不必更換 VM 也可升級 Tableau Server。有關使用「快速啟動」安裝 Tableau Server 的詳情，請參閱 Microsoft 網站上的[Tableau Server Linux 單一節點](https://azure.microsoft.com/zh-tw/resources/templates/tableau-server-single-node/)。 - **Azure Marketplace VM** – 基於預先設定的伺服器對應在 Microsoft Azure 上設定並執行 Tableau Server 的最快方式是透過 Azure Marketplace。此選項會在執行 Windows 的 Azure VM 上安裝 Tableau Server。Azure Marketplace 中的 Tableau Server 僅透過自帶授權 (BYOL) 模型提供。在 Azure VM 上啟用並執行 Tableau Server 後，您可以購買 Tableau Server 授權並啟用關聯的產品金鑰。建議將 Tableau Server Azure Marketplace VM 僅用於快速測試和概念驗證環境。 安裝 Azure Marketplace VM 1. 轉到 Azure 入口網站 Marketplace 並搜尋 「Tableau Server」。 2. 選取 \[Tableau Server\] 並「建立」對應。 3. 輸入您的訂用帳戶資訊，並選取資源群組和部署位置。 4. 選取虛擬機器大小。 5. 設定可選功能，例如磁碟類型、存儲帳戶、子網等。 6. 驗證伺服器設定。 7. 部署 Tableau Server。 有關 Tableau Server 授權選項的詳情，請參閱[授權概觀](https://help.tableau.com/current/server/zh-tw/license_server_overview.htm)。 [跳至主要內容](#main-content) # Microsoft Azure 拓撲上的 Tableau Server ## 這是封存內容 我們會繼續支援共用雲端部署，但不再更新協力廠商共用雲端部署的內容。 有關最新的 Tableau Server 部署內容，請參閱 Tableau Server 說明中的 [部署](https://help.tableau.com/current/server/zh-tw/install.htm)部分。 對於有存取權的客戶，我們建議使用 Tableau Cloud。有關更多詳細資訊，請參閱： - [Tableau Cloud 手動移轉指南](https://help.tableau.com/current/guides/migration/zh-tw/emg_intro.htm) - [Tableau Cloud 管理員試用版](https://help.tableau.com/current/server-linux/zh-tw/install.htm) - [Tableau Cloud：管理員入門](https://www.tableau.com/zh-tw/learn/get-started/online-admin) ## 簡介 在 Microsoft Azure 上部署 Tableau Server 時，您可以選取 Tableau Desktop 和 Tableau Server 在 Microsoft Azure 虛擬機器 (VM) 上的整合程度和深度。您可以使用 Tableau Desktop 及其從資料來源中擷取資料的能力來充當資料和 Tableau Server 之間的紐帶。根據您的需求，或者如果 Microsoft Azure 中已經有大量資料，您可能會改為選取將全部 Microsoft Azure 服務與 Tableau Server 結合使用。下圖顯示了與 Tableau Desktop 和 Tableau Server 的資料來源整合。 ![透過 Tableau Desktop 和基於雲端的虛擬機器從原始資料到使用者存取的資料轉換流程圖。](/tableau/current/zh-tw/server/zh-tw/Img/tableau_cloud_topology.png) 在下圖中，您的所有資料都託管在 Microsoft Azure 上。您可以分析以安全、可擴展的方式管理的結構化和非結構化資料。您可以利用僅位於 Microsoft Azure 上的資料、位於 Microsoft Azure 外部的非託管資料或者兩者的組合。這種靈活性可以大大改善組織為內部部署資料向雲端的移轉提供支援的能力，因為兩種資料可受到平等的支援。 ![演示使用來自 Azure 的資料進行資料收集、儲存、分析和視覺化過程的圖示。](/tableau/current/zh-tw/server/zh-tw/Img/tableau_azure_data_sources.png) [跳至主要內容](#main-content) # mutualSSLSettings 實體 在設定相互 SSL 之前，請查看[針對與來往 Tableau Server 的外部 HTTP 流量設定 SSL](https://help.tableau.com/current/server/zh-tw/ssl_config.htm)。 `mutualSSLSettings` 實體將合併 SSL 和相互 SSL 設定。相互 SSL 要求已啟用並正確設定外部 SSL。 TSM 實體使用 JSON 和機碼值組。使用下面的組態檔範本建立一個 .json 檔案。為適用於您的環境的相應機碼指定值，然後使用以下命令將 .json 檔案傳遞到 Tableau Server： `tsm settings import -f ` `tsm pending-changes apply` 如果擱置組態需要重新啟動伺服器，`pending-changes apply` 命令將顯示提示，讓您知道即將重新啟動。即使伺服器已停止，也會顯示提示，但在這種情況下不會重新啟動。您可以使用 `--ignore-prompt` 選項隱藏提示，但這樣做不會改變重新啟動行為。如果變更不需要重新啟動，則不會出現提示即可套用變更。有關詳情，請參閱 [tsm pending-changes apply](https://help.tableau.com/current/server/zh-tw/cli_pending-changes.htm#pending-changes-apply)。 ## 組態範本 使用此範本設定相互 SSL 設定。 **重要事項**所有實體選項均大小寫視為相異。 有關組態檔、實體和金鑰的更多說明，請參閱[組態檔範例](https://help.tableau.com/current/server/zh-tw/config_file_example.htm)。 { "configEntities": { "mutualSSLSettings": { "\_type": "mutualSSLSettingsType", "sslEnabled": true, "proxyLogin": false, "clientCertRequired": true, "caCertFile": "required", "keyFileName": "required", "keyPassphrase": "", "chainFile": "", "revocationFile": "", "redirect": false, "fallbackToPassword": true, "protocols": "", "cipherSuite": "", "forceHttpsForPublicEmbed": false } } } ## 組態檔參考 sslEnabled 啟用 SSL。這是啟用相互 SSL 的必要條件。 clientCertRequired (MutualSSL) 設定為 true 以啟用相互 SSL 驗證。設定為 false 以停用。 caCertFile (MutualSSL) 必需。 針對雙向 SSL 指定 CA 頒發的憑證檔案。檔案路徑必須可被 Tableau Server 讀取。 certFileName 指定檔案，該檔案包含構成伺服器憑證鏈的一連串 PEM 編碼 CA 憑證。 或者，為了方便起見而將 CA 憑證直接附加到伺服器憑證時，引用的檔案可以與 caCertFile 相同。 keyFileName 如果金鑰未與憑證合併，請使用此設定金鑰指向金鑰檔案。如果您具有 RSA 和 DSA 私密金鑰，則可以並行設定兩者（例如，用於也允許使用 DSA 密碼）。 keyPassphrase 可選。憑證檔案的密碼。您輸入的密碼將在空閒時加密。 **附註：**如果建立包含密碼的憑證金鑰檔案，則無法為 SAML 重用 SSL 憑證金鑰。 revocationFile 指定 SSL CA 憑證撤銷清單 (.crl) 檔案的檔案路徑。 重新導向 預設值：true。指定 Tableau Server 是否應將 http 請求作為 https 請求重新導向到適當的端點。 clientCertMapping (MutualSSL) 指定用於從憑證中檢索使用者名的方法。 接受的值：`ldap`、`upn`、`cn` - 對於使用本機驗證的伺服器，預設設定為 `upn`（使用者主體名稱）。 - 如果將 Tableau Server 驗證設定為使用 Active Directory (AD)，則預設值為`ldap`（輕量型目錄存取協定）。這告訴伺服器轉到 AD 來驗證使用者，並忽略憑證中的名稱。 您可以針對任一驗證類型設定 `cn`，以使用憑證中的主題 DN 中的 CN。 有關詳情，請參閱[在相互驗證過程中將用戶端憑證對應到使用者](https://help.tableau.com/current/server/zh-tw/ssl_mutual_mapping_username.htm)。 fallbackToPassword (MutualSSL) 設定為 true，以在相互 SSL 驗證失敗的情況下，可以讓使用者選取透過其使用者名和密碼來登入 Tableau Server。設定為 false 可以停用此後備選項。 通訊協定 列出想要允許或拒絕的傳輸層安全性 (TLS) 通訊協定版本。 預設值：`"all -SSLv2 -SSLv3"` 但是，我們建議您使用以下設定： `"all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1"` 有關詳情，請參閱 [tsm security external-ssl enable](https://help.tableau.com/current/server/zh-tw/cli_security_tsm.htm#external-ssl-enable)。有關一般資訊，請參閱 Apache 線上文件集。 cipherSuite 列出密碼以允許或不允許使用 SSL。 預設值：`"HIGH:MEDIUM:!aNULL:!MD5:!RC4:!3DES:!CAMELLIA:!IDEA:!SEED"` 請參閱 [OpenSSL 密碼](https://www.openssl.org/docs/man1.0.2/man1/ciphers.html)頁面以取得密碼清單格式。變更此選項時請謹慎從事。預設值不允許密碼，也就是不再視為具有適當安全性的密碼。 proxyLogin 預設值：false。指明 Tableau Server 僅在登入時使用 SSL Proxy 。它控制伺服器針對登入 API 向 Tableau Desktop 進行報告的通訊協定。 forceHTTPForPublicEmbed 預設值：false。強制內嵌檢視的代碼使用 SSL。 [跳至主要內容](#main-content) # OAuth 連線 Tableau Server 支援 OAuth 使用多種不同的連接器。在許多情況下，OAuth 功能不需要 Tableau Server 上的附加組態。 在 Tableau 中，使用者透過 OAuth 連接器登入資料後，將重新導向身分驗證提供者的登入頁面。使用者提供認證並授權 Tableau 存取其資料後，身分驗證提供者會向 Tableau 傳送唯一標識 Tableau 和使用者的**存取權杖**。此存取權杖用來代表使用者存取資料。有關詳情，請參閱下面的 [OAuth 處理序概述](#Overview)。 使用 OAuth -基礎連線可提供以下優點： - **安全：**您的資料庫認證不會被 Tableau Server 知道或儲存在其中，並且存取權杖只能由代表使用者的 Tableau 使用。 - **方便：**不必在多個位置嵌入您的資料來源 ID 和密碼，您可以對存取特定資料提供者的所有已發佈工作簿和資料來源使用為該資料提供者提供的權杖。 **附註**：如果是 Google BigQuery 資料的即時連線，每個工作簿檢視器都可以擁有標識使用者的唯一存取權杖，而不是共用單個使用者名稱與密碼認證。 ## OAuth 處理序概述 下列步驟描述了 Tableau 環境中呼叫 OAuth 流程的工作流程。 1. 使用者執行的動作需要存取雲端-基礎資料來源。 例如，您開啟發佈到 Tableau Server 的工作簿。 2. Tableau 將使用者導向雲端資料提供者的登入頁面。傳送給資料提供者的資訊將 Tableau 標識為請求網站。 3. 當使用者登入資料時，提供者會提示使用者確認 Tableau Server 存取資料的授權。 4. 使用者確認後，資料提供者會向 Tableau Server 傳送存取權杖。 5. Tableau Server 向使用者顯示工作簿和資料。 ![膝上型電腦、Tableau Server 和資料庫之間的資料流圖。](/tableau/current/zh-tw/server/zh-tw/Img/protected_auth_server.png) **附註**：在 Tableau Cloud 版本的 2025.2（2025 年夏季）版本中新增對用於 OAuth 連線的一次性重新整理權杖（有時稱為一次性使用重新整理權杖、滾動重新整理權杖或重新整理權杖輪換）的支援，並在 2025.3 版本的 Tableau Server 中新增（如果資料來源提供程式的 IDP 支援）。與 Tableau Cloud 的 Tableau Bridge 連線尚不支援這些功能。若對連線使用外部 OAuth 設定，請參閱 GitHub 中的 [OAuth 設定和使用文件](https://tableau.github.io/connector-plugin-sdk/docs/oauth "OAuth 設定文件")，以瞭解更多資訊。 下列使用者工作流程可以使用 Oauth 程序： - 從 Tableau Desktop 或從 Tableau Server 建立工作簿並連線到資料來源。 - 從 Tableau Desktop 發佈資料來源。 - 從諸如 Tableau Mobile 或 Tableau Desktop 等核准的_用戶端_登入Tableau Server。 ## 預設的已儲存憑證連接器 _已儲存的認證_是指 Tableau Server 儲存用於 OAuth 連線的使用者權杖的功能。這項功能可讓使用者將 OAuth 認證儲存到其在 Tableau Server 上的使用者設定檔。儲存憑證後，使用者之後存取連接器後，就不會在發佈、編輯或重新整理動作時收到系統提示。 **附註**：在 Web 中編輯 Tableau Prep 流程時，系統可能仍會提示您重新進行驗證。 預設情況下，以下連接器會使用已儲存的認證，並不需要 Tableau Server 上的附加組態。 - Anaplan - Box - Dropbox - Esri ArcGIS Server - Google Ads - LinkedIn Sales Navigator - Marketo - OneDrive 和 SharePoint Online（從 2022.3 開始需要額外設定） - Oracle Eloqua - ServiceNow ITSM - Snowflake - 要使用「私密連結」需要附加組態。有關詳情，請參閱 Snowflake 網站上的[為合作夥伴應用程式設定 Snowflake OAuth](https://docs.snowflake.net/manuals/user-guide/oauth-partner.html#configure-snowflake-oauth-for-partner-applications)[在 Tableau Server 上為 Snowflake 連線設定 OAuth](https://help.tableau.com/current/server/zh-tw/config_oauth_snowflake.htm)。 以下連接器可透過伺服器管理員使用有附加組態的已儲存的認證。 - Amazon Athena 有關詳情，請參閱 Tableau Desktop 說明中的[將自己的身分提供程式與 Amazon Athena 結合使用](https://help.tableau.com/current/pro/desktop/zh-tw/amazon_athena_idp.htm) 。 - Azure Data Lake Storage Gen2、Azure Synapse、Azure SQL 資料庫、Databricks、OneDrive 和 SharePoint Online 以及 SharePoint 清單 (JDBC) 有關詳情，請參閱[為 OAuth 和新式驗證設定 Azure AD](https://help.tableau.com/current/server/zh-tw/config_oauth_azure_ad.htm)。 - Dremio 有關詳情，請參閱[為 Salesforce.com 設定 OAuth](https://help.tableau.com/current/server/zh-tw/config_oauth_dremio.htm)。 - Google Analytics、Google BigQuery、Google BigQuery (JDBC)、Google 雲端硬碟 有關詳情，請參閱[為 Google 設定 OAuth](https://help.tableau.com/current/server/zh-tw/config_oauth_google.htm)。 **附註**：如果 Tableau Server 未列在 Google 管理主控台的已存取應用程式清單中，則可以使用其用戶端 ID 手動在該清單中新增應用程式。要建立用戶端 ID，請參閱[將 Google OAuth 變更為已儲存的認證](https://help.tableau.com/current/server/zh-tw/config_oauth_google.htm)。 - Intuit QuickBooks Online 有關詳情，請參閱[為 Intuit QuickBooks Online 設定 OAuth](https://help.tableau.com/current/server/zh-tw/config_oauth_qbo.htm)。 OneDrive 和 SharePoint Online（從 2022.3 開始） 有關更多資訊，請參閱[為站台設定自訂 OAuth](https://help.tableau.com/current/server/zh-tw/config_oauth_azure_ad.htm#custom) - Salesforce 有關詳情，請參閱[將 Salesforce.com OAuth 變更為已儲存的認證](https://help.tableau.com/current/server/zh-tw/config_oauth_sfdc.htm)。 - Salesforce CDP 有關更多資訊，請參閱[將 Tableau Server 連線到 Salesforce Data Cloud](https://help.tableau.com/current/server/zh-tw/config_oauth_sfdc_cdp.htm)。 - Snowflake 從版本 2024.2 開始。有關更多資訊，請參閱[將 Snowflake OAuth 變更為已儲存的認證](https://help.tableau.com/current/server/zh-tw/config_oauth_snowflake.htm)。 所有支援的連接器皆列在 Tableau Server 上使用者的我的帳戶設定頁面的資料來源已儲存的認證下。使用者需為每個連接器管理其已儲存的認證。 ![資料來源已儲存認證的清單，其中包含清除所有已儲存認證的選項。](/tableau/current/zh-tw/server/zh-tw/Img/oauth-savedcreds.png) ### 資料連線存取權杖 可以根據包含資料連線的存取權杖嵌入認證，以允許在初始驗證過程結束之後直接存取。除非 Tableau Server 使用者刪除存取權杖或資料提供者撤銷它，否則它會一直有效。 可能超出了資料來源提供程式允許的存取權杖數。在這種情況下，使用者建立權杖時，資料提供者將使用自上次存取以來已經過去的時間長度來決定使哪個權杖失效以便為新權杖騰出空間。 ### 批准的用戶端驗證的存取權杖 預設情況下，在使用者第一次登入時提供其認證後，Tableau Server網站允許使用者直接從批准的 Tableau 用戶端存取其網站。此類型的驗證還使用 OAuth 存取權杖安全地存儲使用者的認證。 有關詳情，請參閱[停用自動用戶端驗證](https://help.tableau.com/current/server/zh-tw/devices_connected_credentials.htm)。 ## 預設的受管金鑰鏈連接器 _受管金鑰鏈_是指提供者針對 Tableau Server 產生 OAuth 權杖並由同一站台中所有使用者共用的功能。使用者首次發佈資料來源時，Tableau Server 會向使用者要求資料來源認證。Tableau Server 向資料來源提供者提交認證，提供者會再傳回 OAuth 權杖供 Tableau Server 代表使用者使用。在後續的發佈作業中，系統會使用 Tableau Server 為相同類別與使用者名稱儲存的 OAuth 權杖，因此不會提示使用者輸入 OAuth 認證。若資料來源密碼發生變更，系統會重複上述程序，並在 Tableau Server 上以新權杖取代舊權杖。 Tableau Server 中的其他 OAuth 設定不需要預設受控金輪鏈連接器： - Google Analytics、Google BigQuery 和 Google Sheets（2022 年 3 月在 Tableau 版本 2022.1 中已棄用） - Salesforce ### 權仗限制及儲存 Google 限制每個用戶端應用程式只能為每個使用者儲存 50 個權杖（在此案例中，Tableau Server 即為用戶端應用程式）。由於使用者將 OAuth 權杖儲存在 Tableau Server 上並重複使用，因此使用者不太可能超過權杖限制。 所有儲存在 Tableau Server 上的使用者權杖，都會在閒置時經過加密。有關詳情，請參閱[管理伺服器密碼](https://help.tableau.com/current/server/zh-tw/security_secret_storage.htm)。 ### 移除未使用的金鑰鏈記錄 受管金鑰鏈記錄包含 dbClass、使用者名稱和 Oauth 密碼屬性等連線屬性。指定站台上所有受管金鑰鏈記錄，都會合併、加密並儲存在 PostgreSQL 中。 即使已移除工作簿和資料來源，記錄也將保留。隨著時間的流逝，這些記錄大小可能會變得很大，並可能導致問題。 我們建議定期清除未使用的金鑰鏈記錄作為常規維護工作。您可以檢視每個網站上儲存的記錄數和未使用的記錄數。您也可以刪除未使用的記錄。 ![管理已儲存認證金鑰鏈的對話方塊。對話方塊包含顯示未使用金鑰鏈數量的選項和刪除它們的按鈕。](/tableau/current/zh-tw/server/zh-tw/Img/oauth-purge-managed-keys.png) 若要存取「受管金鑰鏈清理」，請登入 Tableau Server 管理頁面，巡覽至要刪除未使用的記錄的網站，然後按一下「設定」。 ### 受管金鑰鏈在各種情境下的限制 以下三種情境不適用於在 Tableau Server 使用受管金鑰鏈 OAuth： - 在即時連線時要求輸入的 OAuth 憑證。使用者必須以受控 keychain OAuth 在即時連線時嵌入憑證 - 在 Tableau Server 編輯 OAuth 資料來源連線 - Web 製作 ### 將受管理的金鑰鏈轉換為已儲存的認證 您可以藉由為每個連接器設定 Tableau Server 的 OAuth 用戶端 ID 和密碼，將使用受管理的金鑰鏈的連接器轉換成使用已儲存的認證。將這些連接器轉換為已儲存憑證後，使用者將能在 Tableau Server 的「我的帳戶設定」頁面上管理自己在每個連接器類型的憑證。此外，此功能也支援即時連線提示、編輯連線和 Web 製作。 ## 為站台設定自訂 OAuth 可以透過設定自訂 OAuth 用戶端，為一部分連接器設定站台層級 OAuth。有關詳情，請擇一參閱以下主題： - 有關 Azure Data Lake Storage Gen2、Azure SQL 資料庫、Azure Synapse、Databricks、OneDrive 和 SharePoint Online 以及 SharePoint 清單 (JDBC)，請參閱[為站台設定自訂 OAuth](https://help.tableau.com/current/server/zh-tw/config_oauth_azure_ad.htm#custom)。 - Dremio 的詳細資訊，請參閱[為 Salesforce.com 設定 OAuth](https://help.tableau.com/current/server/zh-tw/config_oauth_dremio.htm) 。 - 有關 Google Analytics、Google BigQuery、Google Sheets（在 Tableau 版本 2022.1 中已棄用），請參閱[為站台設定自訂 OAuth](https://help.tableau.com/current/server/zh-tw/config_oauth_google.htm#custom)。 - 有關 Salesforce，請參閱[為站台設定自訂 OAuth](https://help.tableau.com/current/server/zh-tw/config_oauth_sfdc.htm#custom)。 - 對於 Salesforce CDP，請參閱[將 Tableau Server 連線到 Salesforce Data Cloud](https://help.tableau.com/current/server/zh-tw/config_oauth_sfdc_cdp.htm#custom)。 - 有關 Snowflake，請參閱[選項 2：按站台為 Snowflake 連線設定 OAuth](https://help.tableau.com/current/server/zh-tw/config_oauth_snowflake.htm#custom)。 ## 此區段的其他文章 [跳至主要內容](#main-content) # OAuth 連線疑難排解 本主題提供相關資訊，說明如何解決在設定 OAuth 資料連線時可能發生的問題。 ## 衝突錯誤 在某些情況下，使用者嘗試透過 OAuth 連線時可能會收到錯誤。錯誤訊息的第一個句子是： 伺服器發生內部錯誤或組態錯誤，無法完成您的請求。 此錯誤表示 Tableau Server 的完整網域名稱 (FQDN) 需要新增到 Tableau Server 上的允許清單重新導向金鑰。 使用者透過本機主機名稱 (https://tableau) 存取 Tableau Server，且 OAuth 資料提供者回應公用 DNS 名稱 (https://data.example.com) 時，Tableau Server 必須將外部 FQDN 與本機伺服器名稱建立關聯。本機主機名稱是使用者從內部網路存取 Tableau Server 時在 URL 中輸入的伺服器名稱。 若要修正此錯誤，請使用 `oauth.whitelisted.redirect_to_origin_host` 金鑰選項執行 [tsm configuration set](https://help.tableau.com/current/server/zh-tw/cli_configuration_tsm.htm#TSMSet)。此金鑰會採用值對 `"internal_host,FQDN1,FQDN2"`。例如，以下命令會將本機主機名稱設定為 _tableau_，並將 FQDN 設定為 _tableau.example.com_： `tsm configuration set -k oauth.whitelisted.redirect_to_origin_host -v "tableau,tableau.example.com"` `tsm pending-changes apply` 如果是使用多個公用 URL 存取內部 Tableau Server 的情形，請在命令中新增額外的 FQDN（以逗號分隔），例如： `tsm configuration set -k oauth.whitelisted.redirect_to_origin_host -v "tableau,tableau.example.com,tableau2.example.com"` 如果需要編輯現有的允許清單重新導向組態，您必須輸入完整的對應組。您不能截斷或附加現有的組態金鑰。 [跳至主要內容](#main-content) # OpenID Connect 可以設定 Tableau Server，以支援 OpenID Connect (OIDC) 實作單一登入 (SSO)。OIDC 是一種標準驗證通訊協定，它使使用者能夠登入到諸如 Google 等身分識別提供者 (IdP) 或 Salesforce。成功登入其 IdP 後，他們將自動登入 Tableau Server。 設定 OIDC 的過程包含若干步驟。本節中的主題會提供有關將 Tableau Server 與 OIDC 結合使用的一般資訊，並提供設定 IdP 和 Tableau Server 的順序。 **附註：** 除非另有說明，否則有關 OIDC 驗證的資訊適用於在 Tableau Server 設定期間在 TSM 中設定的 OIDC 驗證或使用 [身份集區](https://help.tableau.com/current/server/zh-tw/identity_pools.htm)。 ## 驗證概述 本節會介紹 OpenID Connect (OIDC) 在 Tableau Server 的驗證流程。 ![說明 Tableau Server、用戶端和 OpenID Connect 之間互動的圖表。](/tableau/current/zh-tw/server/zh-tw/Img/openid_auth_overview.png) 1.使用者嘗試從用戶端電腦登入 Tableau Server。 2.Tableau Server 驗證請求重新導向 IdP 閘道。 3.提示使用者輸入認證，並成功向 IdP 進行驗證。IdP 會以重新導向回 Tableau Server 的 URL 回應。重新導向 URL 中包括使用者的授權代碼。 4.用戶端被重新導向到 Tableau Server，並顯示授權碼。 5\. Tableau Server 會將用戶端的授權碼及其自己的用戶端認證提供給 IdP。 也是 IdP 的用戶端。此步驟旨在防止假冒或中間人攻擊。 6.IdP 會向 Tableau Server 傳回存取權杖和 ID 權杖。 - JSON Web 權杖 (JWT) 驗證：預設情況下，Tableau 會執行對 IdP JWT 的驗證。在探索期間，Tableau 會擷取 IdP 設定探索文件中 `jwks_uri` 指定的公開金鑰。Tableau 會驗證 ID 權杖是否到期，然後驗證 JSON Web 簽章 (JWS)、簽發者 (IdP) 和用戶端 ID。您可以在 OpenID 文件 [10](http://openid.net/specs/openid-connect-core-1_0.html#SigEnc) 中了解更多有關 JWT 過程的資訊。[簽名和加密](http://openid.net/specs/openid-connect-core-1_0.html#SigEnc)以及 IETF 建議標準 [JSON Web 權杖](https://tools.ietf.org/html/rfc7519)。我們建議一直啟用 JWT 驗證，除非 Idp 不支援。 - ID 權杖是使用者的一組屬性金鑰對。該金鑰對稱為_聲明_。下面是使用者的一個範例 IdP 聲明： "sub" : "7gYhRR3HiRRCaRcgvY50ubrtjGQBMJW4rXbpPFpg2cptHP62m2sqowM7G1LwjN5" "email" : "alice@example.com", "email\_verified" : true, "name" : "Alice Adams", "given\_name" : "Alice", "family\_name" : "Adams", "phone\_number" : "+359 (99) 100200305", "profile" : "https://tableau.com/users/alice" 7\. Tableau Server 會根據 IdP 宣告識別使用者，並完成步驟 1 中的驗證請求。 Tableau Server 會藉由比對「sub」（主體識別碼）來搜尋儲存在存放庫中的使用者帳戶記錄，以識別正確的使用者帳戶。如果子宣告值未儲存任何使用者帳戶，則 Tableau Server 會在存放庫中搜尋符合 IdP 提供之「email」（電子郵件）宣告的使用者名稱。使用者名稱匹配成功後， Tableau Server 會將對應的子聲明儲存到儲存庫中的使用者記錄中。可將 Tableau Server 設定為此過程使用不同的聲明。查看 [使用 OpenID Connect 的要求](https://help.tableau.com/current/server/zh-tw/openid_auth_requirements.htm)。 8\. Tableau Server 會對使用者進行授權。 ## Tableau 如何使用 OpenID Connect OpenID Connect (OIDC) 是一種靈活的通訊協定，支援服務提供者（此處為 Tableau Server）和 IdP 之間交換資訊的多種選項。以下清單提供有關 Tableau Server 實作 OIDC 的詳細資訊。這些詳細資訊可以幫助您瞭解 Tableau Server 傳送和期望哪些類型的資訊，以及如何設定 IdP。 - Tableau Server 僅支援 OpenID 授權碼流程，如 OpenID Connect 文件中的 [OpenID Connect 最終規格](http://openid.net/specs/openid-connect-core-1_0.html)中所述。 - Tableau Server 依賴使用探索或提供者 URL 來擷取 OpenID 提供者中繼資料。或者，您可以在 Tableau Server 上託管靜態探索文件。有關詳情，請參閱[為 OpenID Connect 設定 Tableau Server](https://help.tableau.com/current/server/zh-tw/openid_auth_server_config.htm)。 - Tableau Server 支援 `client_secret_basic`和 `client_secret_post` 用戶端驗證. - 在 `id_token` 屬性的 JOSE 標頭中，Tableau Server 需要 `kid` 值。此值與 JWK 集文件中發現的關鍵字之一相符，此文件的 URI 由 OpenID 發現文件中的 `jwks_uri` 值指定。即使 JWK 集文件中只有一個關鍵字，也必須存在 `kid` 值。 - Tableau Server確實包括 OpenID 支援，支援 JWK `x5c` 參數或支援使用 X.509 證書。 - 預設情況下，Tableau Server 會忽略 Proxy 設定並將所有 OpenID 請求直接傳送到 IdP。 如果將 Tableau Server 設定為使用正向 Proxy 連線到網際網路，則必須按照[為 OpenID Connect 設定 Tableau Server](https://help.tableau.com/current/server/zh-tw/openid_auth_server_config.htm) 中所述進行其他變更。 ## OIDC 宣告中的使用者屬性 從 Tableau Server 2026.2 開始，若已設定並啟用該功能設定，可以在登入期間將身分提供程式 (IdP) 傳送的 JSON Web 權杖 (JWT) 中的使用者屬性宣告傳遞給Tableau Cloud。這些使用者屬性可與 Tableau 的使用者屬性函數 `(USERATTRIBUTE()` `USERATTRIBUTEINCLUDES()`， ） 一起使用，以動態控制和自訂內容。Tableau 會驗證宣告，然後啟用對內容的存取。 詳情請參閱[使用使用者屬性自訂和控制資料存取](https://help.tableau.com/current/server/zh-tw/openid_auth_server_config.htm#user_attributes)。 **範例 JWT** "sub" : "7gYhRR3HiRRCaRcgvY50ubrtjGQBMJW4rXbpPFpg2cptHP62m2sqowM7G1LwjN5" "email" : "alice@example.com", "email\_verified" : true, "name" : "Alice Adams", "given\_name" : "Alice", "family\_name" : "Adams", "phone\_number" : "+359 (99) 100200305", "profile" : "https://tableau.com/users/alice", "region" : \["South", "South West"\] ## 此區段的其他文章 [跳至主要內容](#main-content) # OpenID Connect 疑難排解 使用以下主題在 Tableau Server 疑難排解 OpenID Connect (OIDC) 問題。 許多身分提供程式支援 OIDC 通訊協定。OIDC 通訊協定是一個開放和靈活的標準，因此，並非所有標準實現都是相同的。管理員在為 OIDC 設定 Tableau Server 時遇到的大多數問題是不同身分提供程式實作 OIDC 的結果。如果在 Tableau Server 設定 OIDC 時遇到錯誤，我們建議您使用 IdP 來解決它們。 ## 正在啟用增強型 OpenID 記錄 要有效解決 Tableau Server 中的 OpenID Connect 問題，請將記錄層級上定為偵錯啟用增強型記錄，並使用`vizportal.openid.full_server_request_logging_enabled`設定鍵`true`使用這些 TSM 命令完整記錄 OpenID： `tsm configuration set -k vizportal.log.level -v debug` `tsm configuration set -k vizportal.openid.full_server_request_logging_enabled -v true` `tsm pending-changes apply` 完成疑難排解後，建議將兩個設定鍵的值設定回其預設值，以限制在記錄中收集的資訊並減少記錄檔大小。有關將設定鍵重置為預設值的詳細資訊，請參閱[將組態金鑰重設為預設值](https://help.tableau.com/current/server/zh-tw/cli_configuration-set_tsm.htm#Reset2Default)。 **附註：**不支援[身分集區](https://help.tableau.com/current/server/zh-tw/identity_pools.htm)的增強記錄。但支援 `vizportal.log.level debug` 記錄。 ## 使用命令列登入 即使 Tableau Server 設定為使用 OIDC，當您使用 [tabcmd](https://help.tableau.com/current/server/zh-tw/tabcmd.htm)、[Tableau REST API](https://help.tableau.com/current/api/rest_api/zh-tw/help.htm) 或 [Tableau 資料擷取命令列公用程式](https://help.tableau.com/current/pro/online/zh-tw/help.htm)（由 Tableau Desktop 提供）登入 Tableau Server 時，也不會使用 OIDC 驗證。 ## 登入失敗 登入可能會失敗，並出現以下訊息： `Login failure: Identity Provider authentication unsuccessful for user . Failed to find the user in Tableau Cloud.` 此錯誤通常表示 Tableau Server 中存放的使用者名稱與 IdP 提供的使用者名稱不相符。若要修復此錯誤，請確保這些使用者名相符。例如，如果林怡君的使用者名稱在 IdP 中存放為 `jsmith`，它在 Tableau Server 中也必須存放為 `jsmith`。 ## 錯誤 69：「無法登入」 嘗試使用 Web 瀏覽器登入 Tableau Server 並收到錯誤「無法登入。」時，可能會傳回錯誤 69。登入失敗。請與 Tableau Server 管理員聯絡。」返回此訊息的 URL 是 `https://example.com/#/error/signin/69?redirectPath=%2`。 如果收到此錯誤，請與 IDP 提供程式進行確認，驗證 IdP 是否預期為 `client_secret_post` 而不是 `client_secret_basic`（Tableau 預設值）。 如果 IdP 預期為 `client_secret_post`，則您必須將 `vizportal.openid.client_authentication` 參數設定為 `client_secret_post`。 例如；如果收到此錯誤並且已針對 Salesforce IdP 設定了 OIDC，則必須設定 `vizportal.openid.client_authentication` 參數。 有關詳情，請參閱[tsm configuration set 選項](https://help.tableau.com/current/server/zh-tw/cli_configuration-set_tsm.htm)。 ## OpenID 錯誤記錄檔 OpenID 驗證在 Tableau Server 外部進行，因此，疑難排解驗證問題可能很困難。但是，Tableau Server 會記錄登入嘗試。可以建立記錄檔的快照集，並使用它們來排查問題。如需詳細資訊，請參閱[Tableau Server 記錄檔和記錄檔位置](https://help.tableau.com/current/server/zh-tw/logs_loc.htm)。 **附註：**若要記錄 OpenID 相關事件，必須使用[tsm configuration set 選項](https://help.tableau.com/current/server/zh-tw/cli_configuration-set_tsm.htm)將 `vizportal.log.level` 設定為 `debug`。 在未解壓的記錄檔快照集內的以下檔中，檢查 OpenID 錯誤： `\vizportal\vizportal-.log` ## 找不到使用者 如果使用者首次登入後「子」宣告已變更，則可能會傳回錯誤「找不到使用者」。如果您在 vizportal 記錄檔中看到以下內容，則可以驗證此問題：`Possible conflicting or stale account: A different user already owns this account`。 如果仍然出現此問題，請重設該使用者或 Tableau Server 上所有使用者的「子」宣告。有關詳情，請參閱[重設使用者識別碼](https://help.tableau.com/current/server/zh-tw/openid_auth_changing_idp.htm#reset_sub)。 [跳至主要內容](#main-content) # OpenID Connect 驗證請求參數 從 Tableau Server 傳送的 OpenID 驗證請求使用本主題中列出的有限參數集傳遞資訊。如果您的 OpenID IdP 需要不屬於以下清單的參數，對於 Tableau Server 的使用不相容。 - `scope`。此值指定一個設定檔案，該設定檔告訴 IdP 需要返回的使用者資訊。此值可由 Tableau Server 管理員設定。預設值為 \[openid 電子郵件設定檔\] 。有關詳情，請參閱本文件後面的[設定範圍值](#configure-scope-value)。 - `response_type`。OpenID Connect 支援多個流程。此值告訴 IdP Tableau Server 所需要的流程。Tableau 僅支援授權代碼流程，並且值始終設定為 \[代碼\] 。 - `client_id`。此值指定伺服器的 ID（ \[Tableau Server 設定\] 對話方塊中的提供程式用戶端 ID），這使 IdP 能夠知道請求來自哪裡。註冊服務時，它由 IdP 提供。此值可由 Tableau Server 管理員設定。 - `redirect_uri`。此值指定使用 OpenID Connect 對使用者進行驗證後 IdP 重定向到的 URL。URL 必須包括主機和協定（例如，`http://example.tableau.com`），但 Tableau 會提供 URL 端點。 - `nonce`。Tableau Server 會產生一個 nonce 值來驗證它重新導向到的用戶端是否與從 IdP 中回來的實體相符。 ## 設定 scope 值 `scope` 值向 IdP 指明 Tableau Server 所請求的有關使用者的資訊。預設情況下，Tableau Server 會傳送值 \[openid 電子郵件設定檔\] 。這表明，Tableau 使用 OpenID 進行驗證（必須始終包括這部分 `scope` 屬性值），並且 Tableau Server 會在使用者授權碼交換期間請求使用者設定檔和電子郵件資訊。 如果此預設範圍並不適合您的方案，您可以讓 Tableau Server 請求有關使用者的自訂資訊。為此，您可以使用自訂設定檔設定 IdP（例如，像 "tableau-scope" 這樣的內容）。然後，您可以使用自訂設定檔將 Tableau Server 設定為傳送請求。 若要變更 Tableau Server 請求的 scope 值，請使用以下 TSM CLI 命令： `tsm authentication openid configure --custom-scope-name custom-scope-name` **附註：** - Tableau Server範圍值始終包括 "openid" （即使您未在 `custom_scope` 設定中包括它也不例外）。 - TSM 驗證設定命令僅適用於安裝 Tableau Server 期間在 TSM 中設定的 OIDC 驗證。要變更身分識別集區的 OIDC 驗證設定，您可以借助使用 Tableau REST OpenAPI 的[更新驗證設定](https://help.tableau.com/current/api/rest_api/zh-tw/REST/TAG/index.html#operation/AuthnService_UpdateAuthConfiguration)端點。 [跳至主要內容](#main-content) # openIDSettings 實體 在設定 OpenID 驗證之前，請檢閱[使用 OpenID Connect 的要求](https://help.tableau.com/current/server/zh-tw/openid_auth_requirements.htm)。 使用下面的組態檔範本建立一個 json 檔案。使用適當的值填寫各個選項之後，使用以下命令傳遞 json 檔案並應用設定： `tsm settings import -f path-to-file.json` `tsm pending-changes apply` 如果擱置組態需要重新啟動伺服器，`pending-changes apply` 命令將顯示提示，讓您知道即將重新啟動。即使伺服器已停止，也會顯示提示，但在這種情況下不會重新啟動。您可以使用 `--ignore-prompt` 選項隱藏提示，但這樣做不會改變重新啟動行為。如果變更不需要重新啟動，則不會出現提示即可套用變更。有關詳情，請參閱 [tsm pending-changes apply](https://help.tableau.com/current/server/zh-tw/cli_pending-changes.htm#pending-changes-apply)。 ## 組態範本 使用此範本來設定 OpenID 設定。 **重要事項**所有實體選項均大小寫視為相異。 有關組態檔、實體和金鑰的更多說明，請參閱[組態檔範例](https://help.tableau.com/current/server/zh-tw/config_file_example.htm)。 完成 OIDC 的初始設定之後，使用 [tsm authentication openid ](https://help.tableau.com/current/server/zh-tw/cli_authentication_tsm.htm#TSMOIDC) 子類別來設定其他值。 { "configEntities": { "openIDSettings": { "\_type": "openIDSettingsType", "enabled": true, "clientId": "required", "clientSecret": "required", "configURL": "required if staticFile value is not set", "staticFile": "required if configURL value is not set", "externalURL": "required" } } } ## 組態檔參考 以下清單包括可隨 `"openIDSettings"` 實體集一起包括的所有選項。 \_type 必需。 請不要變更。 enabled 必需。 設定為 `true`。 clientId 必需。 指定 IdP 已指派給您的應用程式的提供者用戶端 ID。例如，`“laakjwdlnaoiloadjkwha"`。 clientSecret 必需。 指定提供者用戶端密碼。這是 Tableau 用於驗證來自 IdP 的響應的真實性的權杖。此值是密碼，應妥善保管。 例如，`“fwahfkjaw72123="`。 configURL 必需。 指定提供者組態 URL。如果不指定設定 URL，則刪除此選項，並改為指定 `staticFile` 的路徑和檔案名。 staticFile 必需。 指定靜態 OIDC 發現 JSON 檔的本機路徑。如果不指定靜態檔，則刪除此選項，並改為指定 `configURL` 的 URL。 externalURL 必需。 伺服器的 URL。這通常是您的伺服器的公共名稱，例如 `http://example.tableau.com`。 connectionTimeout 可選。 指定連線逾時範圍（以秒為單位）。預設值為 `10`。 readTimeout 可選。 指定讀取超時範圍（以秒為單位）。預設值為 `30`。 ignoreDomain 如果滿足以下條件，請將此項設定為 `true`： - 您使用電子郵寄位址作為 Tableau Server 中的使用者名 - 您在 IdP 中設定了具有多個功能變數名稱的使用者 - 您想要從 IdP 中忽略 `email` 宣告的網功能變數名稱稱部分 在繼續之前，請檢查由於將此選項設定為 `true` 而使用的使用者名。可能會發生使用者名衝突。如果發生使用者名衝突，資訊洩露的風險將很高。請參閱[使用 OpenID Connect 的要求](https://help.tableau.com/current/server/zh-tw/openid_auth_requirements.htm)。 ignoreJWK 如果您的 IdP 不支援 JWK 驗證，請將此項設定為 `true`。在這種情況下，我們建議使用相互 TLS 或另一種網路層安全通訊協定向 IdP 驗證通訊的身分。預設值為 `false`。 customScope 指定可用於查詢 IdP 的自訂範圍使用者相關值。請參閱[使用 OpenID Connect 的要求](https://help.tableau.com/current/server/zh-tw/openid_auth_requirements.htm)。 idClaim 如果您的 IdP 不支援使用 `sub` 宣告在 ID 權杖中唯一標識使用者，請變更此值。您指定的 IdP 宣告應包含單個唯一的字串。 usernameClaim 將此值變更為組織將使用的 IdP 宣告以與 Tableau Server 中儲存的使用者名匹配。 clientAuthentication 指定 OpenID Connect 的自訂用戶端驗證方法。 若要將 Tableau Server 設定為使用 Salesforce IdP，請將此值設定為 `client_secret_post`。 iFramedIDPEnabled 設定為 `true` 以允許 IdP 顯示在 iFrame 中。IdP 必須停用 Clickjack 保護才能允許進行 iFrame 展示。 [跳至主要內容](#main-content) # Resource Monitoring Tool (RMT) 服務 Resource Monitoring Tool 有兩個主要元件：Resource Monitoring Tool 控制項目（RMT 伺服器）和 RMT 代理程式。 - RMT 控制項目可在此處整理來自 Tableau Server 的資料，並透過 Web 介面提供這些資料。也可以在此處設定 RMT，並監視和分析 Tableau Server 的健全狀況和效能。 - 代理程式會在 Tableau Server 叢集中的每個節點上執行，藉此監視效能和活動。 本主題描述使用 RMT 安裝的服務。下表列出了 RMT 伺服器電腦上安裝的服務以及 RMT 代理程式電腦上安裝的服務。
RMT 伺服器服務
名稱用途記錄檔位置

Windows：C:\Program Files\Tableau\Tableau Resource Monitoring Tool\master\logs\

Linux：/var/opt/tableau/tabrmt/master/logs

附註： 有關記錄檔的其他資訊，請參閱：Tableau Resource Monitoring Tool 記錄檔。

說明
主機在安裝過程中使用，也可確保其他處理序正在執行。Windows： host\YYYYMMDD.log

Linux：host/YYYMMDD.log

職責：

  • 處理序監控程式：確保其他處理序正在執行。

  • 設定檔監控程式：偵測並回應設定檔中的變更。

背景程式處理從代理程式傳送的資訊並維護 RMT 收集的 postgres 資料。也提供管理員命令列公用程式。根據處理的資訊產生事件和通知。Windows：background\YYYYMMDD-pts.log

Linux：background/YYYYMMDD-pts.log

職責：

  • rmtadmin：向管理員公開命令列功能的命令列公用程式。

  • 代理程式資料處理：處理來自各種代理程式的資料收集和處理

  • TS 狀態輪詢：定期輪詢 Tableau Server (TS) 狀態，確保系統上線且健全。

  • 事件分析：分析事件，例如錯誤、故障、達到不同度量的閾值。

  • 資料清理：負責清理舊資料。

  • 特定圖表資訊集合：隨需收集資料以進行監視。

  • 通知：管理傳送通知和事件通知。

  • 資料封存（停用）：包含封存舊資料以釋放資源或實現合規性。目前該功能已停用。

導向程式一種協調處理序，其主要職責之一是查詢 Tableau Server 的授權狀態，並設定系統範圍的狀態。Windows：director\YYYYMMDD-pts.log

Linux：director/YYYYMMDD-pts.log

職責：

  • 叢集狀態：監視伺服器叢集的健全狀況和狀態並設定系統範圍的狀態。

  • 授權：查詢 Tableau Server 以了解授權狀態。

  • 圖表抓取：擷取資料以進行監視和回報。可能有權存取伺服器資料庫。

  • 資料庫升級：處理資料庫結構描述或版本的更新

  • 每日彙總處理：執行日常處理任務，例彙總資料以進行回報或分析。

Web執行 Web 伺服器。提供使用者介面。註冊代理程式以收集資訊Windows：web\YYYYMMDD-pts.log

Linux：web/YYYYMMDD-pts.log

職責：

  • 代理程式註冊：管理監視或收集 Tableau 伺服器上資料的代理程式的註冊。

  • 設定使用者介面：提供用於設定各種系統設定和參數的使用者介面。

  • 效能/活動/內容 UI：為使用者提供查看系統中的效能指標、活動記錄和內容相關資料的 UI。

PostgreSQL本機資料存放庫Windows：pgsql\*.log and *.csv

Linux：pgsql/*.log and *.csv

 
RabbitMQ訊息代理Windows：\master\logs\rabbitmq\*.log

Linux：master/logs/*.log

 
RMT 代理程式服務
名稱用途記錄檔位置

Windows：C:\Program Files\Tableau\Tableau Resource Monitoring Tool\master\logs\

Linux：/var/opt/tableau/tabrmt/master/logs

附註： 有關記錄檔的其他資訊，請參閱：Tableau Resource Monitoring Tool 記錄檔。

說明
主機在安裝過程中使用，也可確保其他處理序正在執行。Windows： host\YYYYMMDD.log

Linux：host/YYYYMMDD.log

職責：

  • 處理序監控程式：確保其他處理序正在執行。

  • 設定檔監控程式：偵測並回應設定檔中的變更。

背景程式處理從代理程式傳送的資訊並維護 RMT 收集的 postgres 資料。也提供管理員命令列公用程式。根據處理的資訊產生事件和通知。Windows：background\YYYYMMDD-pts.log

Linux：background/YYYMMDD-pts.log

職責：

  • rmtadmin：向管理員公開命令列功能的命令列公用程式。

  • 記錄監控程式：處理 Tableau Server 從記錄傳送的資訊。

Web執行 Web 伺服器。

執行代理程式註冊到控制項目以進行資料發佈。

Windows：web\YYYYMMDD-pts.log

Linux：web/YYYMMDD-pts.log

 

[跳至主要內容](#main-content) # Resource Monitoring Tool 升級常見問題集 查找有關升級時常見問題的答案。 ## 我可以在沒有 root/Administrator 權限的情況下執行指令碼嗎？ 指令碼透過安裝程式自動執行時，安裝程式具有所需的權限。對於手動執行，需要 root (Linux) 或管理員 (Windows)，因為指令碼會檢查服務狀態、檔案權限，並以 RMT 服務帳戶身分執行命令。 ## 如果我不知道資料庫密碼怎麼辦？ 使用 **WARN** 會跳過所有依賴於 PostgreSQL 的檢查。該指令碼仍會執行所有其他檢查。請聯絡 Tableau 支援以取得密碼。 ## 如何擷取 tabrmtdb 資料庫使用者的密碼？ 可以透過巡覽到 RMT 伺服器目錄並執行適用於作業系統的命令來檢索認證： **如果是 Windows**： `.\rmtadmin get db:username db:password` **如果是 Linux：** `rmtadmin get db:username db:password` ## 我可以在 RMT 使用時執行升級前檢查嗎？ 是。該指令碼是唯讀的，可以隨時在生產系統上安全地執行。 ## 如果升級後檢查發現失敗會怎樣？ 升級後檢查永遠不會封鎖安裝程式。失敗會顯示在報告中。有些（如「無法連線代理」）是暫時性的，會自行解決。 ## 指令碼是否與外部 PostgreSQL/RabbitMQ 相容？ 是。升級後指令碼會自動偵測外部設定並適當地跳過本機檢查。升級前指令碼的資料庫檢查無論需要 `--db-password`，因為它連線到內部 RMT 資料庫。 ## 我可以在 RMT 伺服器和代理程式電腦上執行指令碼嗎？ 是。在 RMT 伺服器和 `--component agent` 代理程式上使用 `--component master`。如果未指定，指令碼會自動偵測。 ## 報告中的 InstallerContext 意味著什麼？ 當升級前檢查在 Windows MSI 升級期間自動執行時，會設定該 `-InstallerContext` 選項。這會放寬服務和連接埠檢查（可能會報告停止/停用，因為安裝程式已中斷服務）以進行 **WARN**，並跳過擱淺處理序閘道 (#38a)，以便安裝程式可以自行管理處理序生命週期。手動執行指令碼時，這些檢查會使用其正常嚴重性。 [跳至主要內容](#main-content) # Tableau Resource Monitoring Tool (RMT) 中基於 PAM 的驗證 從版本 2025.2 開始，系統已為委派使用者新增基於 PAM 的驗證。這可讓客戶根據需要實作自訂驗證邏輯。 先前，RMT 僅依賴 `su` 進行委託使用者驗證，若 Tableau Server 和 RMT 之間的基礎 Linux 驗證原則不同，可能會導致不一致。透過新增對 PAM 的支援，RMT 可與 Tableau Server 的驗證流程保持一致，從而提供更大的靈活性和控制力。 RMT 使用本機（RMT 特定的密碼）或委派（基於作業系統的認證）驗證進行使用者存取，其中委派驗證要求使用者提供其標準網路密碼才能登入。驗證透過其 Web 介面或 `rmtadmin` 命令列工具在 RMT 伺服器上進行設定，可以在其中新增使用者或變更其現有的驗證模式。正確的設定包括確保正確輸入 `username`（委託驗證時無需輸入網域），以及將正確的 RMT 伺服器角色指派給使用者。有關伺服器角色的資訊，請參閱[在 Tableau Resource Monitoring Tool（RMT） 中管理使用者和驗證](https://help.tableau.com/current/server/zh-tw/rmt-server-roles.htm)。 ## RMT 中基於 PAM 的驗證的工作原理 RMT 對委派使用者進行驗證時，它遵循與 Tableau Server 相同的驗證流程： 1. 自訂 PAM 服務 (tableau) RMT 會首先嘗試使用名為 `tableau` 的自訂 PAM 服務對使用者進行驗證，若該服務存在於： /etc/pam.d/tableau 這可讓客戶定義自己的驗證原則。 2. 預設 PAM 登入服務 若未定義 tableau 服務，RMT 將回退為使用標準 PAM 登入服務進行驗證。 3. 基於 su 的驗證 若兩次 PAM 嘗試都失敗，RMT 最後會嘗試使用 `su` 進行驗證。 這是 2025.2 之前版本中的預設驗證方法，並且仍然有效，以確保與早期 RMT 版本和現有環境的回溯相容性。 ## 如何在 RMT 中啟用基於 PAM 的驗證 若要在 RMT 中使用基於 PAM 的驗證，必須滿足以下先決條件： 1. 1.安裝 `pamtester` RMT 使用 `pamtester` 執行非互動式 PAM 驗證。 Debian/Ubuntu: sudo apt install pamtester RHEL/CentOS: sudo yum install pamtester 2. 設定 `pamtester` 的權限 `pamtester` 二進位必須被授與適當的權限才能進行驗證： sudo chown root:root /usr/bin/pamtester sudo chmod u+s /usr/bin/pamtester `setuid` 權限 (`u+s`) 確保 `pamtester` 可以讀取 `/etc/shadow`，這是大多數 PAM 模組執行密碼檢查所必需的。 ### 實作自訂 PAM 服務（可選） 若要實作自己的自訂驗證邏輯，可以定義名為 `tableau` 的 PAM 服務： `/etc/**pam.d/tableau**` [跳至主要內容](#main-content) # RMT 代理程式初始化指令碼選項 安裝 RMT 代理程式後，需要初始化代理程式。預設情況下，執行初始化指令碼時必須包含的唯一必需標幟是 `--accepteula`。其他選項使您可以根據環境和企業的安全要求彈性地自訂安裝。 ## RMT 代理程式初始化選項 \--accepteula 必要。 表示您已閱讀並接受使用者授權合約 (EULA) 的條款。 \-a 可選。 將提供的使用者名稱新增到適當的分組，而不是執行初始化指令碼的使用者。這讓使用者可以存取分組所擁有的資源。這不同於執行身分使用者帳戶。 預設值：執行初始化指令碼的使用者 \-f 可選。 略過警告訊息或分佈版本檢查。 \-h | -? 可選。 顯示指令碼的說明文字。 \-q 可選。 安靜，抑制除了錯誤和警告之外的輸出。 \--debug 可選。 出於偵錯目的，在執行時印出每個命令。產生大量輸出。 \--default-group= **版本：**在版本 2023.1.0 中新增。 可選。 允許授權存取 Tableau RMT 代理程式分組的名稱。如果指定，則 `--unprivileged-user` 也必須指定。 \---disable-account-creation **版本：**在版本 2023.1.0 中新增。 可選。 不存在的帳戶/分組將不會被建立。如果指定，則還必須指定 `--unprivileged-user` 參數和 `--default-group` 和/或其他 `--rmt-<...>-group` 參數的組合。這些參數引用的使用者 ID 和分組必須已經存在。 \--rmt-authorized-group= **版本：**在版本 2023.1.0 中新增。 可選。 擁有安裝基礎安裝目錄和 `install_dir/prerequisites` 資料夾的分組名稱。如果指定，則 `--unprivileged-user` 也必須指定。 預設值：「`rmtagentapp`」或 `--default-group` 值 \--rmt-config-group= **版本：**在版本 2023.1.0 中新增。 可選。 擁有 `install_dir/agent/config` 目錄的分組名稱。如果指定，則 `--unprivileged-user` 也必須指定。 預設值：「`rmtagentconfig`」或 `--default-group` 值 \--rmt-logs-group= **版本：**在版本 2023.1.0 中新增。 可選。 擁有 `install_dir/agent/logs` 目錄的分組名稱。如果指定，則 `--unprivileged-user` 也必須指定。 預設值：「`rmtagentlogs`」或 `--default-group` 值 \--unprivileged-user= **版本：**在版本 2023.1.0 中新增。 可選。 用於執行 Tableau RMT 代理程式的非特權使用者帳戶名稱。初始化 RMT 後無法變更帳戶。 預設值：「`tabrmt-agent`」 [跳至主要內容](#main-content) # RMT 伺服器初始化指令碼選項 安裝 RMT 伺服器後，需要初始化伺服器。預設情況下，執行初始化指令碼時必須包含的唯一必需標幟是 `--accepteula`。其他選項使您可以根據環境和企業的安全要求彈性地自訂安裝。 \--accepteula 必要。 表示您已閱讀並接受使用者授權合約 (EULA) 的條款。 \-a 可選。 將提供的使用者名稱新增到適當的分組，而不是執行初始化指令碼的使用者。這讓使用者可以存取分組所擁有的資源。這不同於執行身分使用者帳戶。 預設值：執行初始化指令碼的使用者 \-f 可選。 略過警告訊息或分佈版本檢查。 \-h | -? 可選。 顯示指令碼的說明文字。 \-q 可選。 安靜，抑制除了錯誤和警告之外的輸出。 \--debug 可選。 出於偵錯目的，在執行時印出每個命令。產生大量輸出。 \--default-group= **版本：**在版本 2023.1.0 中新增。 可選。 允許授權存取 Tableau RMT 代理程式分組的名稱。如果指定，則 `--unprivileged-user` 也必須指定。 \---disable-account-creation **版本：**在版本 2023.1.0 中新增。 可選。 不存在的帳戶/分組將不會被建立。如果指定，則還必須指定 `--unprivileged-user` 參數和 `--default-group` 和/或其他 `--rmt-<...>-group` 參數的組合。這些參數引用的使用者 ID 和分組必須已經存在。 \--enable-fips **版本：**在版本 2025.3.0 中新增。僅限 RHEL 8 Linux。詳情請參閱 [Tableau Resource Monitoring Tool 中的 FIPS 合規性](https://help.tableau.com/current/server/zh-tw/rmt-fips-compliance.htm) 中的 FIPS 合規。 可選。 在 RHEL 8 電腦上安裝時，在 RMT 中啟用 FIPS 模式。 \--rmt-authorized-group= **版本：**在版本 2023.1.0 中新增。 可選。 擁有安裝基礎安裝目錄和 `install_dir/prerequisites` 資料夾的分組名稱。如果指定，則 `--unprivileged-user` 也必須指定。 預設值：「`rmtmasterapp`」或 `--default-group` 值 \--rmt-config-group= **版本：**在版本 2023.1.0 中新增。 可選。 擁有 `install_dir/master/config` 目錄的分組名稱。如果指定，則 `--unprivileged-user` 也必須指定。 預設值：「`rmtmasterconfig`」或 `--default-group` 值 \--rmt-logs-group= **版本：**在版本 2023.1.0 中新增。 可選。 擁有 `install_dir/master/logs` 目錄的分組名稱。如果指定，則 `--unprivileged-user` 也必須指定。 預設值：「`rmtmasterlogs`」或 `--default-group` 值 \--rmt-openssl-group= **版本：**在版本 2023.1.0 中新增。 可選。 擁有 `install_dir/prerequisites/openssl` 目錄的分組名稱。 預設值：「`rmtopenssl`」或 `--default-group` 值 \--rmt-postgres-app-group= **版本：**在版本 2023.1.0 中新增。 可選。 擁有 `install_dir/prerequisites/postgresql13` 目錄的分組名稱。 預設值：「`rmtpostgresapp`」或 `--default-group` 值 \--rmt-postgres-data-group= **版本：**在版本 2023.1.0 中新增。 可選。 擁有 install\_dir/master/logs 目錄的分組名稱。如果指定，則 `--unprivileged-user` 也必須指定。 預設值：「`rmtmasterlogs`」或 `--default-group` 值 \--rmt-rabbitmq-app-group= **版本：**在版本 2023.1.0 中新增。 可選。 擁有 `install_dir/prerequisites/rabbitmq` 目錄的分組名稱。 預設值：「`rmtrabbitmqapp`」或 `--default-group` 值 \--rmt-rabbitmq-data-group= **版本：**在版本 2023.1.0 中新增。 可選。 擁有 `install_dir/data/rabbitmq` 目錄的分組名稱。 預設值：「`rmtrabbitmqdata`」或 `--default-group` 值 \--unprivileged-user= **版本：**在版本 2023.1.0 中新增。 可選。 執行 Tableau RMT Master 的非特權使用者帳戶名稱。初始化 RMT 後無法變更帳戶。 預設值：「`tabrmt-master`」 [跳至主要內容](#main-content) # RMT 伺服器的硬體變更 - 調整 PostgreSQL 資料庫 有時可能需要升級或變更已安裝 RMT 伺服器的電腦上的硬體。無論作出任何硬體變更（尤其針對記憶體和 CPU），調整安裝於 RMT 伺服器的基礎 PostgreSQL 資料庫時都能受益。 安裝 RMTr 伺服器時，安裝程式會設定 PostgreSQL 資料庫，以便最佳化電腦上可用硬體的使用情形。最佳化範例包括管理緩衝和快取大小。變更電腦上的硬體時，效能可能會受影響。 按照以下步驟操作，就能確保因應硬體變更而更新組態： 1. 開啟 PowerShell 命令提示字元。以管理員身分執行。 2. 巡覽到 Tableau Resource Monitoring Tool 下的必要條件目錄。預設位置為：_C:\\Program Files\\Tableau Resource Monitoring Tool\\prerequisites_。 `cd C:\Program Files\Tableau Resource Monitoring Tool\master\` 3. 執行以下命令： `.\tunePostgres.psl` 您應該會看到一則訊息指出組態檔案已更新。此外也會指出您必須重新啟動 PostgreSQL 服務，變更才會生效。組態檔案的更新不需要伺服器停機。 4. 請重新啟動 PostgreSQL 資料庫。您可以在 Resource Monitoring Tool 未使用的時間執行此操作。 [跳至主要內容](#main-content) # RMT 升級：技術參考 本區段是在升級過程中檢查的運作閾值、系統路徑和網路連接埠的技術參考指南。使用這些資料表可快速診斷驗證失敗，並使環境與所需的 RMT 基準保持一致。 **附註**：為了符合本公司平等的價值觀，我們已將 RMT 主伺服器更新為 RMT 伺服器。在某些情況下，RMT 伺服器安裝路徑和命令可能會使用術語「主機」而不是「伺服器」。因此，可以繼續在 CLI 命令和選項、安裝資料夾、設定檔和其他執行個體中看到這些術語。有關詳情，請參閱[關於 Tableau 說明](https://help.tableau.com/current/tableau/zh-tw/about-tableau-help.htm)。 ## 升級前健康情況檢查 升級前健康情況檢查會在現有安裝仍然完好無損時檢查 RMT 伺服器或代理程式主機，例如服務正在執行、資料庫可存取，並產生詳細的 PASS / FAIL / WARN 報告。它跨系統資源、帳戶、檔案權限、PostgreSQL、RabbitMQ、網路、設定檔和 RMT 服務執行 80 多項單獨檢查。下表列出了升級前執行的檢查。如果任何項目傳回 **FAIL** 狀態（結束代碼 2），則升級將被取消。 ### 系統和硬體
檢查 ID名稱 平台失敗 (FAIL) /警告 (WARN) 條件
#1作業系統Linux、WindowsWARN 作業系統版本不在預先檢查允許清單中。支援的清單包括 RHEL 8.x/9.x、Ubuntu 20.04/22.04/24.04、CentOS Stream 8/9、Oracle Linux 8.x/9.x、AlmaLinux 8.x/9.x、Rocky Linux 8.x/9.x、Amazon Linux 2023、Windows Server 2019/2022
#2磁碟空間Linux、WindowsFAIL RMT 伺服器 < 20 GB 或代理程式 < 5 GB 可用。WARN RMT 伺服器 < 50 GB 或代理程式 < 10 GB 可用
#2a磁碟類型Linux、WindowsINFO 回報磁碟機是 SSD 還是 HDD
#3

RAM

Linux、WindowsWARN RMT 伺服器 < 8 GB（最小）或代理程式 < 4 Gb（最小）
#4CPU 核心Linux、WindowsWARN RMT 伺服器 < 8 GB（最小）或代理程式 < 4 GB（最小）
#4aCPU 指示Linux、WindowsFAIL (Linux)：缺少 sse4_2 或 popcnt。WARN (Windows)：檢測到較舊的 CPU。
#4bVC++ RedistWindowsFAIL 缺少 Visual Studio 2022 C++ Redistributable。
#4cOpenSSL DLLsWindowsINFO 檢查 libcrypto-3-x64.dll 和 libssl-3-x64.dll
#5系統正常運作時間Linux、WindowsINFO：若已過期 90 天，則 < 10 minutes (very recent reboot) or > 為附註（擱置修補檔）
#6Systemd 正在執行LinuxFAIL systemd 未執行，PASS：正在執行或降級
#7FIPS 模式Linux、WindowsFAIL (Windows)：在登錄中啟用，PASS FIPS 已停用。WARN (Linux) 與 config.json 不相符。PASS 作業系統和設定相符
#7aPowerShell 版本WindowsINFO PowerShell 版本
#7b系統地區設定WindowsINFO 系統地區設定資訊
#7cWMI 健康情況WindowsWARN WMI 存放庫不一致
### 帳戶和權限
檢查 ID名稱平台失敗 (FAIL) /警告 (WARN) 條件
#8服務帳戶Linux、WindowsFAIL 找不到 RMT 服務帳戶或 Windows 服務
#9群組成員資格LinuxFAIL 缺少所需的服務群組（例如 rmtmasterapp、rmtmasterconfig 等）
#10使用者 SystemdLinuxFAIL 使用者 systemd daemon/linger 未處於活動狀態
#44已安裝 pamtesterLinux如果未安裝將為 WARN。若要解決此問題，請安裝 yum install pamtester 或 apt install libpam-runtime
#### 適用於 Linux 的目錄所有權和權限
檢查 ID目錄:Expected Owner:Group預期模式
#11設定目錄tabrmt-master:rmtmasterconfig2775
#12記錄檔目錄tabrmt-master:rmtmasterlogs2775
#13資料目錄（+ PG/RMQ 子目錄）元件合適2775
#14必要條件目錄root 或元件使用者755
#14arabbitmq-defaults 檔案需要群組可寫入g+w
#15SSL 憑證目錄tabrmt-master:rmtopenssl2775
#15a主目錄元件使用者770
#15b/etc/profile.d/tabrmt-*.shroot預設
#15cConfig dir setgid 位元--需要 2xxx
#16environment.bash元件使用者group-writable
嚴重性：對僅資料目錄集（#13 和 #15）的所有權為 **FAIL**。所有其他 Linux 目錄檢查（#11、#12、#14、#14a、#15a–c、#16）會在所有權/模式不相符時為 **WARN**，因為安裝程式的後續安裝會在升級期間重新套用所有權。如果權限模式錯誤但擁有權正確，則為 **WARN**。 #### Windows 的目錄所有權和權限
檢查名稱嚴重性
#11設定目錄 ACL如果服務使用者缺乏 FullControl，則為 FAIL
#12記錄目錄 ACL如果服務使用者缺少修改，則為 FAIL
#13資料目錄 ACL（RMT 伺服器）如果服務使用者缺乏對 PG/RMQ 資料目錄的 FullControl，則為 FAIL
#14必要條件目錄 ACL（RMT 伺服器）如果缺少 ReadAndExecute，則為 WARN（諮詢 - 每次升級都會重新安裝必要的 MSI，其安裝後動作會重新套用 ACL）
#15SSL 憑證方向 ACL（RMT Server）如果服務使用者缺乏 FullControl，則為 FAIL
#16a服務使用者身分PASS（資訊性 - 顯示以哪個使用者身分執行服務）
#16bSeServiceLogonRight 權限如果找到將顯示 INFO；如果找不到則為 WARN 或 secedit 失敗
#16cRMT 目錄上的服務使用者 ACL如果服務使用者缺乏必要的權限則為 FAIL
### 資料庫 (PostgreSQL) 所有 PostgreSQL 檢查都只能在 RMT 伺服器上執行。
檢查 ID名稱需要 --db-password 選項失敗 (FAIL) /警告 (WARN) 條件
#17PG 服務否FAIL 本機服務已停止且已停用
#18連接埠 5555 偵聽否WARN（安全性群組/VPC / RDS 提示）不接聽
#19DB Connection是WARN 無法連線到內部資料庫（SSL、密碼或網路問題）
### 訊息傳遞 (RabbitMQ) 訊息 (RabbitMQ) 檢查僅在 RMT 伺服器上執行。
檢查 ID名稱失敗 (FAIL) /警告 (WARN) 條件
#22RMQ 服務FAIL 本機服務已停止且已停用
#24佇列待辦項目WARN 任何具有> 10,000 則訊息的佇列
#25RabbitMQ 使用者如果預設 guest 使用者仍然存在，則為 WARN
#26活動中的連線僅為 INFO。報告活動連線計數
#27Erlang cookie 可存取如果缺少 cookie 檔案、權限錯誤則為 WARN（應為模式 400 或 600）
#27aERLANG_HOME 集如果未設定 `ERLANG_HOME` 或路徑不存在，則為 WARN（僅限 Windows）。
#27bSSL 有效性FAIL 憑證已過期
#27c磁碟通知FAIL RMQ分割區可用空間 < 10GB（升級將會卡住）
#45已填入憑證目錄如果憑證目錄存在但為空或缺少預期的憑證檔案（伺服器憑證、金鑰、CA 憑證），則為 WARN
### 網路和設定
檢查 ID名稱失敗 (FAIL) /警告 (WARN) 條件
#28a/b代理程式-主機通訊WARN 客服專員無法撥打 5671、5672、80 或 443 聯絡主機
#33-35JSON/Bash ConfigFAIL config.json、setup.json 或 environment.bash 遺失或無效
#36a已知不良版本FAIL 目前版本為 2025.3.0（迴歸區塊升級）
### 服務和備份
檢查 ID名稱失敗 (FAIL) /警告 (WARN) 條件
#38正在執行的所有 RMT 服務每個已停止服務的 WARN
#38a擱淺處理序FAIL 服務停止後發現延遲的 tabrmt-* 處理序
#39背景處理器正在執行如果主機程序未執行，則為 WARN。
#40升級前備份提醒WARN 作為升級前備份設定的提醒
#41拓樸僅為 INFO。報告主要/代理程式節點類型和（帶資料庫）作用中代理程式計數
#42元件版本清單僅為 INFO。報告 RMT、PostgreSQL、RabbitMQ、OpenSSL 版本
#43機器規格摘要僅為 INFO。報告作業系統、CPU 核心、RAM、可用磁碟空間
## 升級後健康情況檢查 這些檢查在升級後執行。它們是非封鎖的，失敗不會停止升級，但會指出安裝後問題。
檢查 ID名稱元件失敗 (FAIL) /警告 (WARN) 條件
#1a-d服務和流程RMT Server, AgentFAIL 主機、PG 或 RMQ 服務未執行
#2主機處理序主管RMT Server, AgentWARN 缺少主機監視器處理序（無自動復原）
#3a-b設定檔完整性RMT Server, Agent如果缺少或無效 JSON，則為 FAIL
#4a-b檔案權限RMT Server, AgentFAIL 設定/記錄檔目錄無法由服務帳戶讀取/寫入
#5a-d連接埠接聽RMT ServerFAIL Web (443)、AMQP (5672) 或 DB (5555) 未接聽
#6PostgreSQL 連線性RMT ServerFAIL PostgreSQL 不接受連線
#7RabbitMQ 狀態RMT 伺服器如果是外部，則為 SKIP。所有重試用盡後 FAIL。
#8a佇列取用者RMT ServerWARN 存在待辦項目，但沒有活動中的取用者（主要工作者已中斷連線）
#9RMQ 通知RMT ServerFAIL 偵測到使用中記憶體或磁碟資源警示
#10RabbitMQ SSL 憑證RMT 伺服器如果憑證過期，則為 FAIL。如果憑證在 30 天內過期，則為 WARN
#11FIPS 配對RMT Server, AgentFAIL 作業系統 FIPS 狀態不符合 isFIPSEnabled 設定
#12Web 伺服器 HTTP 回應RMT 伺服器使 HTTP GET 為 `https://localhost：<port>/authentication/login`。PASS 200 或 302。連線拒絕/逾時為 FAIL。其他錯誤為 WARN。
#13HTTPS 憑證有效性RMT ServerFAIL Web 伺服器 TLS 憑證已過期
#14a-d磁碟空間RMT Server, AgentFAIL < 1 GB 可用。WARN：< 5 GB 可用
#15最近的記錄錯誤RMT Server, AgentFAIL 記錄中的致命錯誤。WARN：嚴重錯誤
#16RMT 狀態RMT Server, AgentFAIL rmtadmin 狀態傳回失敗模式
#17Agent 記錄歷史記錄Agent檢查代理程式資料目錄中的記錄追蹤檔案 (.history, .json)。如果檔案不可讀或損毀，則為 WARN
#18a-f存貨版本RMT Server, Agent有關 RMT 版本、PostgreSQL 版本、RabbitMQ 版本、Erlang/OTP 版本、.NET 執行階段 (Windows) / 作業系統 (Linux)、作業系統版本 (Windows) / 核心 (Linux) 的 INFO
## 健康情況檢查結束代碼 使用以下結束代碼來解譯升級前和升級後健康情況檢查指令碼的結果。 ### 升級前指令碼
結束代碼狀態升級行為
0READY TO UPGRADE升級收益
1UPGRADE WITH CAUTION升級進行；檢閱警告
2請勿升級升級已取消
3指令碼錯誤檢查執行環境
### 升級後指令碼
結束代碼狀態
0ALL PASSED
1WARNINGS PRESENT
2CRITICAL FAILURES
## InstallerContext 嚴重性變更 在 Windows MSI 自動升級期間以 執行 `-InstallerContext` 時，以下檢查的行為與手動預設值不同。預設（非 InstallerContext）行為為\*已經\*針對「已停止但未停用」/「連接埠未偵聽」狀態的「WARN」；「FAIL」保留用於 \`停止+停用\`。在 \`-`InstallerContext`\` 下，即使是 \`Disabled\` 分支也會報告為「WARN」，因此進行中的安裝程式驅動的升級永遠不會被安裝程式即將修復的暫時性狀態否決。
檢查名稱預設值InstallerContext
#17PG 服務如果已停止則為 WARN，如果已停止且已停用則為 FAIL，如果全部停止則為 INFOWARN
#18PG 連接埠如果不偵聽則為 WARN，如果所有服務停止則為 INFOWARN
#22RabbitMQ 服務如果已停止則為 WARN，如果已停止+已停用則為 FAIL，如果全部停止則為 INFOWARN
#23Port 5672 (AMQP)如果不偵聽則為 WARN，如果所有服務停止則為 INFOWARN
#38a擱淺 RMT 處理序（請參閱檢查說明）SKIP（安裝程式管理處理序生命週期）
### 升級前閾值
閾值RMT ServerAgent單位
磁碟空間 FAIL205GB 可用
磁碟空間 WARN5010GB 可用
臨時目錄 FAIL55GB 可用
臨時目錄 WARN1010GB 可用
RAM FAIL84GB
RAM WARN168GB
CPU FAIL42核心
CPU WARN84核心
資料庫大小 FAIL500-GB
資料庫大小 WARN200-GB
Hangfire 結構描述 FAIL10-GB
Hangfire 結構描述 WARN1-GB
WAL 目錄 FAIL (Windows)10-GB
WAL 目錄 FAIL (Windows)2-GB
WAL 目錄 FAIL (Linux)10-GB
Mnesia 目錄 WARN5-GB
RabbitMQ 磁碟通知 FAIL10-GB 可用
佇列待辦專案 WARN10,000-訊息
憑證過期 WARN3030天
清除保留 WARN180-天
無效元組比率 WARN20-百分比
代理程式活動訊號過時15-分鐘
網路驅動程式年齡 WARN3-年
記錄檔目錄大小 WARN55GB
記錄目錄大小 WARN（嚴重）2020GB
### 升級後閾值
閾值值單位
磁碟空間 FAIL1GB 可用
磁碟空間 WARN5GB 可用
憑證過期 WARN30天
佇列待辦專案 WARN10,000訊息
記錄掃描視窗60分鐘
RabbitMQ 啟動重試6 次嘗試 x 5 秒總共 30 秒
## 支援的最低元件版本
元件最低版本
RabbitMQ>= 3.10.10
代理程式版本>= 2023.1.0
### 自動和 CI/CD 整合 **如果是 Linux：** \`\`\`base \# Linux sudo bash rmt-pre-upgrade-check.sh --component master --db-password "$DB\_PASSWORD" EXIT\_CODE=$? if \[ $EXIT\_CODE -eq 2 \]; then echo "BLOCKED: Fix critical issues before upgrading" exit 1 fi \`\`\` **如果是 Windows：** \`\`\`powershell \# Windows .\\rmt-pre-upgrade-check.ps1 -Component master if ($LASTEXITCODE -eq 2) { Write-Error "BLOCKED: Fix critical issues before upgrading" exit 1 } \`\`\` ## 安裝目錄參考 若要手動叫用完整診斷公用程式或驗證安裝結構，請參閱特定於平台的目錄路徑： ### Linux 目錄結構 \`\`\` `/opt/tableau/tabrmt/ # Install root` +`-- master/ # Master application binaries` `+-- agent/ # Agent application binaries` `+-- prerequisites/ # Bundled dependencies` `/var/opt/tableau/tabrmt/ # Data root` `+-- master/config/ # config.json, setup.json` `+-- master/logs/ # Application logs` `+-- data/postgresql15/ # PostgreSQL data files` `+-- data/rabbitmq313/ # RabbitMQ data/mnesia` `+-- data/ssl/ # TLS certificates` `/etc/opt/tableau/tabrmt/` `+-- master/environment.bash # Master environment variables` `+-- agent/environment.bash # Agent environment variables` \`\`\` ### Windows 目錄結構 \`\`\` `C:\Program Files\Tableau\Tableau Resource Monitoring Tool\ # Install root` `C:\ProgramData\Tableau\Tableau Resource Monitoring Tool\ # Data root` \`\`\` ### 需要網路連接埠
連接埠服務方向
80RMT Web UI (HTTP)輸入
443RMT Web UI (HTTPS)輸入
5672RabbitMQ AMQPRMT 伺服器上的傳入
5671基於 TLS 的 RabbitMQ AMQPRMT 伺服器上的傳入
15672RabbitMQ 管理 UI本機
25672RabbitMQ 節點之間本機
5555內部 PostgreSQL本機
[跳至主要內容](#main-content) # RMT 升級健康情況檢查指令碼 從 2025.3.6 版本開始，RMT 安裝程式包括升級前和升級後健康情況檢查指令碼，用於在升級前後驗證 Tableau Resource Monitoring Tool (RMT) 環境。這些指令碼可識別環境中預先存在的問題，例如設定錯誤、權限漂移、磁碟空間不足、憑證過期或之前存在的服務故障，並可能導致任何升級失敗。 升級前和升級後健康情況檢查指令碼可以識別以下問題： - **資料庫和磁碟就緒情況**：偵測大型資料庫或過多的 WAL 檔案是否會導致移轉擱置或耗盡磁碟空間。 - **權限和安全完整性**：識別轉移的檔案所有權或過期的 SSL 憑證，否則這些憑證會阻止服務重新啟動或代理程式重新連線。 - **相依性驗證**：確保在安裝 PostgreSQL 15 之前存在所需的 Windows 元件，例如 Visual C++ 2022 Redistributable 和 OpenSSL 3.x。 - **版本邏輯安全性**：防止版本中繼資料回歸引起的「錯誤降級」錯誤。 ## 升級前指令碼 開始升級時，升級前指令碼會自動執行。它會在現有安裝仍然完好無損時檢查您的 RMT 伺服器或代理程式主機，並產生 PASS / FAIL / WARN 報告。 對於 **Linux**，升級前檢查會自動執行： sudo bash upgrade-rmt-master ... sudo bash upgrade-rmt-agent ... 要跳過自動檢查（不建議）： sudo bash upgrade-rmt-master --skip-pre-upgrade-check ... 對於 **Windows**，安裝程式會自動執行升級前檢查。在安裝過程中，系統也會提示您選擇跳過升級。但是，不建議這樣做。 ### 手動升級前檢查 您可以手動執行指令碼來預覽任何潛在問題。若要手動執行，請根據作業系統使用以下步驟： **如果是 Linux：** 以根使用者身分執行命令。若要包括資料庫檢查，請使用匯出命令安全地傳遞密碼。 sudo bash /opt/tableau/tabrmt/master/install-scripts/rmt-pre-upgrade-check.sh 若要在啟用 PostgreSQL 檢查的情況下執行，請使用以下命令： export RMT\_DB\_PASSWORD="" sudo -E bash /opt/tableau/tabrmt/master/install-scripts/rmt-pre-upgrade-check.sh 若要使用特定元件和輸出路徑執行，請使用以下命令： sudo bash rmt-pre-upgrade-check.sh --component master --output /tmp/rmt-report.txt **如果是 Windows：** 預設情況下，RMT 伺服器的升級前檔案安裝在以下位置： `C:\Program Files\Tableau\Tableau Resource Monitoring Tool\master\scripts\pre-upgrade\rmt-pre-upgrade-check.ps1` 預設情況下，代理程式的升級前檔案安裝在以下位置： `C:\Program Files\Tableau\Tableau Resource Monitoring Tool\agent\scripts\pre-upgrade\rmt-pre-upgrade-check.ps1` 若要手動執行指令碼，請以管理員身分啟動 PowerShell，然後執行： `cd "C:\Program Files\Tableau\Tableau Resource Monitoring Tool\master\scripts\pre-upgrade"` .`\rmt-pre-upgrade-check.ps1` 若要在啟用 PostgreSQL 檢查的情況下執行，請使用以下命令： $env:RMT\_DB\_PASSWORD = "" .\\rmt-pre-upgrade-check.ps1 若要使用特定元件和輸出路徑執行，請使用以下命令： .\\rmt-pre-upgrade-check.ps1 -Component master -OutputPath C:\\temp\\rmt-report.txt ### 其他選項 使用以下選項自訂升級前檢查： `-Component` 指定 RMT 伺服器或代理程式。若省略，指令碼會自動偵測此情況 `--db-password / -DbPassword` 內部 RMT 資料庫管理員密碼。PostgreSQL 檢查所需。 `--output / -OutputPath` 指定儲存報告的位置。預設情況下，其會儲存至 `/tmp/ (Linux) or C:\temp\ (Windows).` `--target-version / -TargetVersion` 計劃安裝的 RMT 版本啟用；特定於版本的檢查。 `--quiet / -Quiet` 篩選輸出以僅顯示 FAIL 和 WARN 的結果。 `--verbose / -Verbose` 輸出顯示執行每次檢查的詳細技術資料。 ### 指令碼結果和所需動作 下表說明指令碼結果和動作：
結果狀態動作
PASS結束代碼 0未發現任何問題。升級將繼續進行。
WARN結束代碼 1升級將繼續進行，但必須檢閱報告中是否存在非嚴重風險。
FAIL結束代碼 2升級已中止。必須先解決這些問題，才能重新執行升級。
## 升級後指令碼 升級後健康情況檢查指令碼會在每次 RMT 安裝和升級結束時自動執行。它驗證所有服務是否正確啟動、基礎結構是否健康且設定是否完好無損。升級後檢查不會封鎖安裝程式。所有已識別的故障都會記錄在最終報告中。 ### 手動升級後檢查 若要手動執行，請根據作業系統使用以下步驟： **如果是 Linux：** 以根使用者身分或具有權限執行 `sudo` 以下命令： - 對於 RMT 伺服器： sudo bash /opt/tableau/tabrmt/master/install-scripts/rmt-post-upgrade-check --component master --mode upgrade - 對於代理程式： sudo bash /opt/tableau/tabrmt/agent/install-scripts/rmt-post-upgrade-check --component agent --mode upgrade **如果是 Windows：** 預設情況下，RMT 伺服器的升級後檔案安裝在以下位置： `C:\Program Files\Tableau\Tableau Resource Monitoring Tool\master\scripts\post-upgrade\rmt-post-upgrade-check.ps1` 預設情況下，代理程式的升級後檔案安裝在以下位置： `C:\Program Files\Tableau\Tableau Resource Monitoring Tool\agent\scripts\post-upgrade\rmt-post-upgrade-check.ps1` 若要手動執行指令碼，請以管理員身分開啟 PowerShell，並在執行命令前巡覽至 RMT 安裝目錄： - 對於 RMT 伺服器： .\\rmt-post-upgrade-check.ps1 -Component master -Mode upgrade - 對於代理程式： .\\rmt-post-upgrade-check.ps1 -Component agent -Mode upgrade ### 其他選項 可以使用以下選項自訂指令碼： `--component / -Component` 指定 RMT 伺服器或代理程式。如果省略，指令碼將嘗試自動偵測這一點。 `--db-password / -DbPassword` 內部 RMT 資料庫管理員的密碼。這是啟用 PostgreSQL 檢查的必要步驟。 `--output / -OutputPath` 報告檔案將儲存的路徑。預設為 `/tmp/ (Linux)` 或 `C:\temp\ (Windows)`。 `--target-version / -TargetVersion` 要升級到的特定 RMT 版本，用於特定於版本的檢查。 `--quiet / -Quiet` 減少輸出以僅顯示**FAIL**和**WARN**的結果。 `--verbose / -VerboseOutput` 為執行的每項檢查提供詳細的技術輸出。 附註：建議將 RMT\_DB\_PASSWORD 設定為環境變數，而不是在命令列上傳遞，因為命令列引數會在處理序清單中可見。 ### 指令碼結果和所需動作 下表說明指令碼結果和動作：
結果狀態動作
PASS結束代碼 0系統正常。沒有需要採取的動作。
WARN結束代碼 1查看警告；大多數會自行解決（例如，暫時的 RabbitMQ 啟動延遲）。
FAIL結束代碼 2一項或多項關鍵檢查失敗 - 調查並重新修復。
## 報告 可以在這裡找到升級前報告： - Linux：`/tmp/rmt-precheck-.txt` - Windows（手動）：`C:\temp\rmt-precheck--.txt` 可以在這裡找到升級後的報告： - Linux：`/rmt-postcheck-report.txt` - Windows（手動）：`C:\temp\rmt-postcheck--.txt` - Windows（透過安裝程式）：安裝程式執行檢查時，它會使用固定檔案名稱： - `C:\temp\rmt-postcheck-master-report.txt` - `C:\temp\rmt-postcheck-agent-report.txt` 有關報告中升級前和升級後檢查的詳情，請參閱[升級參考](https://help.tableau.com/current/server/zh-tw/rmt-admin-upgrade-reference.htm)區段。 ### 範例報告 以下是升級前健康情況檢查報告範例： \================================================================== RMT Pre-Upgrade Health Check Report Script Version : 1.0.0 Generated : 2026-04-08 14:30:00 Component : master Hostname : rmt-master-01.example.com RMT Version : 2025.1.9 \================================================================== OVERALL STATUS : UPGRADE WITH CAUTION (2 warning(s) -- review before proceeding) PASS: 44 FAIL: 0 WARN: 2 INFO: 10 SKIP: 3 \================================================================== WARNINGS -- Review Before Upgrading \================================================================== \[WARN\] #21d Hangfire schema is 1.2 GB Check 21g for delete\_hash() volatility bug \[WARN\] #24 1 queue(s) with >10000 messages (max: 15234) Resolve backlogs before upgrading [跳至主要內容](#main-content) # RMT 解除安裝錯誤疑難排解 嘗試解除安裝 RMT 時，若收到此錯誤： _一個或多個問題導致設定失敗。請修復問題，然後重試設定。_ 在重新嘗試解除安裝之前，您需要診斷並解決問題。有關如何執行此操作的詳細資訊，請參閱 Tableau 知識庫文章：[解除安裝 RMT 時出錯](https://kb.tableau.com/articles/Issue/error-one-or-more-issues-caused-the-setup-to-fail-please-fix-the-issues-and-then-retry-setup-with-rmt-uninstall?lang=zh-tw) ## 誰可以執行此動作 您需要為電腦上的管理員，並且為 Resource Monitoring Tool 管理員，才能對解除安裝問題進行疑難排解。 [跳至主要內容](#main-content) # 預設安裝權限 - Tableau Resource Monitoring Tool 以下主題提供了安裝期間對各種系統帳戶或群組設定的預設權限。若您的環境或組織要求您使用非預設帳戶，這可以幫助您確定 Resource Monitoring Tool (RMT) 正常運作所需的權限。 **附註：**Resource Monitoring Tool (RMT) 伺服器和代理程式不符合聯邦資訊處理標準 (FIPS) 140-2，且在已啟用 FIPS 模式的執行作業系統上無法正常運作。 ## Windows 安裝 預設情況下，Tableau Resource Monitoring Tool 會在安裝時建立下列帳戶： - NT SERVICE\\TableauResourceMonitoringTool - NT SERVICE\\TableauResourceMonitoringToolPostgreSQL - NT SERVICE\\TableauResourceMonitoringToolRabbitMQ 若想要或需要使用其他帳戶取代預設帳戶，可以在安裝後使用 `rmt-admin` 命令列公用程式指定這些帳戶。有關詳細資訊，請參閱 [rmtadmin service-setup](https://help.tableau.com/current/server/zh-tw/rmt-admin-cmdline.htm#rmtadmin-service-setup)。 這些預設服務帳戶所使用的權限以及所需的最低權限如下所示。您的服務帳戶應符合最低權限或預設權限：
服務帳戶資源預設權限所需的最低權限
Tableau Resource Monitoring Tool Master   
 應用程式檔案

Tableau Resource Monitoring Tool\master

完全控制：讀取、寫入、執行、修改

完全控制
 記錄檔目錄和檔案

Tableau Resource Monitoring Tool\master\logs

完全控制：讀取、寫入、執行、修改

讀取、寫入
 設定目錄

Tableau Resource Monitoring Tool\master\config

完全控制：讀取、寫入、執行、修改

完全控制
    
Tableau Resource Monitoring Tool PostgreSQL   
 應用程式目錄

Tableau Resource Monitoring Tool\prerequisites\postgresql<nn>

完全控制：讀取、寫入、執行、修改完全控制
 

資料目錄

Tableau Resource Monitoring Tool\data\postgresql<nn>

完全控制：讀取、寫入、執行、修改完全控制
 記錄檔目錄

Tableau\Tableau Resource Monitoring Tool\master\logs\pgsql

完全控制：讀取、寫入、執行、修改讀取、寫入。
    
Tableau Resource Monitoring Tool RabbitMQ   
 

資料目錄

Tableau Resource Monitoring Tool\data\rabbitmq

完全控制：讀取、寫入、執行、修改完全控制
 

應用程式檔案

Tableau Resource Monitoring Tool\prerequisites\rabbitmq

Tableau Resource Monitoring Tool\prerequisites\erlang

完全控制：讀取、寫入、執行、修改完全控制
 

記錄檔

Tableau Resource Monitoring Tool\master\logs\rabbitmq

完全控制：讀取、寫入、執行、修改讀取、寫入
    
Tableau Resource Monitoring Tool 代理程式   
 

應用程式檔案

Tableau Resource Monitoring Tool\agent

完全控制：讀取、寫入、執行、修改完全控制
 

記錄檔目錄和檔案

Tableau Resource Monitoring Tool\agent\logs

完全控制：讀取、寫入、執行、修改讀取
 

設定目錄

Tableau Resource Monitoring Tool\agent\config

完全控制：讀取、寫入、執行、修改完全控制
## Linux 安裝 預設情況下，Tableau Resource Monitoring Tool 會在安裝時建立某些帳戶。若想要或需要使用群組和使用者取代預設值，可以在安裝後使用 `rmt-admin` 命令列公用程式指定這些群組和使用者。有關詳細資訊，請參閱 [rmtadmin service-setup](https://help.tableau.com/current/server/zh-tw/rmt-admin-cmdline.htm#rmtadmin-service-setup)。 這些服務帳戶所使用的預設權限如下所示。您的權限應與下列權限相符：
服務帳戶資源權限
Tableau Resource Monitoring Tool Master  
 應用程式檔案

/var/opt/tableau/tabrmt/master

擁有者 - 完整權限（讀取、寫入、執行）

群組 - 讀取、寫入、執行

其他 - 讀取、執行

 記錄檔目錄和檔案

/var/opt/tableau/tabrmt/master/logs

擁有者 - 完整權限（讀取、寫入、執行）

群組 - 讀取、寫入、執行

其他 - 讀取、執行

 設定目錄

/var/opt/tableau/tabrmt/master/config

擁有者 - 完整權限（讀取、寫入、執行）

群組 - 讀取、寫入、執行

其他 - 讀取、執行

   
Tableau Resource Monitoring Tool PostgreSQL  
 應用程式目錄

/opt/tableau/tabrmt/prerequisites/postgresql13

擁有者 - 完整權限（讀取、寫入、執行）

群組 - 讀取、執行

其他 - 讀取、執行

 

服務目錄

/var/opt/tableau/tabrmt/data/postgresql13/pg_*

擁有者 - 完整權限（讀取、寫入、執行）

群組 - 無

其他 - 無

 

資料目錄

/var/opt/tableau/tabrmt/data/postgresql13/

擁有者 - 完整權限（讀取、寫入、執行）

群組 - 讀取、寫入、執行

其他 - 讀取、執行

 

記錄檔目錄

/var/opt/tableau/tabrmt/master/logs/pgsql

擁有者 - 完整權限（讀取、寫入、執行）

群組 - 讀取、寫入、執行

其他 - 執行

 上面未提及的 PostgreSQL 目錄下的其他目錄

/var/opt/tableau/tabrmt/data/postgresql13/<not mentioned above>

擁有者 - 讀取、寫入

群組 - 無

其他 - 無

 /var/opt/tableau/tabrmt/data/postgresql13/base

/var/opt/tableau/tabrmt/data/postgresql13/global

擁有者 - 完整權限（讀取、寫入、執行）

群組 - 無

其他 - 無

 /var/opt/tableau/tabrmt/data/postgresql13/certificates擁有者 - 完整權限（讀取、寫入、執行）

群組 - 完整權限（讀取、寫入、執行）

其他 - 執行

   
Tableau Resource Monitoring Tool RabbitMQ  
 

資料目錄

/var/opt/tableau/tabrmt/data/rabbitmq

擁有者 - 完整權限（讀取、寫入、執行）

群組 - 讀取、寫入和執行

其他 - 讀取、執行

 

應用程式檔案

/var/opt/tableau/tabrmt/rabbitmq/prerequisites/rabbitmq

/var/opt/tableau/tabrmt/rabbitmq/prerequisites/erlang

擁有者 - 完整權限（讀取、寫入、執行）

群組 - 讀取、執行

其他 - 讀取、執行

 

記錄檔

/var/opt/tableau/tabrmt/master/logs/rabbitmq

擁有者 - 完整權限（讀取、寫入、執行）

群組 - 讀取、寫入和執行

其他 - 執行

 

其他目錄（/rabbitmq 目錄下）

/var/opt/tableau/tabrmt/data/rabbitmq/certificates

/var/opt/tableau/tabrmt/data/rabbitmq/mnesia

擁有者 - 完整權限（讀取、寫入、執行）

群組 - 讀取、寫入和執行

其他 - 執行

 /var/opt/tableau/tabrmt/data/rabbitmq/<other than mentioned>擁有者 - 讀取、執行

群組 - 讀取、執行

其他 - 無

   
Tableau Resource Monitoring Tool 代理程式  
 

應用程式檔案

/var/opt/tableau/tabrmt/agent

擁有者 - 完整權限（讀取、寫入、執行）

群組 - 讀取、寫入和執行

其他 - 讀取、執行

 

記錄檔目錄和檔案

/var/opt/tableau/tabrmt/agent/logs

擁有者 - 完整權限（讀取、寫入、執行）

群組 - 讀取、寫入和執行

其他 - 讀取、執行

 

設定目錄

/var/opt/tableau/tabrmt/agent/config

擁有者 - 完整權限（讀取、寫入、執行）

群組 - 讀取、寫入和執行

其他 - 讀取、執行

### 誰可以執行此動作 要執行上述所有步驟，需要為正在安裝 Resource Monitoring Tool 的電腦上的管理員，並且必須為 Tableau Server 管理員。 [跳至主要內容](#main-content) # rmtadmin 命令列公用程式 Resource Monitoring Tool 包含位於安裝資料夾中的命令列介面 `rmtadmin.cmd`。預設的安裝資料夾為： - RMT 伺服器 `%PROGRAMFILES%\Tableau\Tableau Resource Monitoring Tool\Master` - 代理程式：`%PROGRAMFILES%\Tableau\Tableau Resource Monitoring Tool\agent` **附註：**必須以管理員身分執行命令提示字元，才能成功執行這些命令。 > **RMT 伺服器**和**代理程式**安裝皆包含 `rmtadmin`。根據使用的是 RMT 伺服器還是代理程式 `rmtadmin` 命令列公用程式，某些命令可能會有所不同。例如，只有_RMT 伺服器_才可以使用 `users` 命令。任何位置皆可使用 `ziplogs` 命令，但包含的記錄檔只會來自執行命令的應用程式。 以下是可與 `rmtadmin` 命令列搭配使用的命令： **附註：**`rmtadmin` 命令會同時使用位置參數和選項。 只能使用數值指定位置參數。不需要指定實際的關鍵字。使用等號指定選項關鍵字和數值。 範例： `rmtadmin --