--- schema_version: "1" id: 1266a23200a025c167bdb6de6633a48853e380f84081f69553917e20bf171357 title: Einrichten von Amazon Athena IAM OAuth collection: tableau version: next locale: de-de portal_url: https://docs.salesforce.com/tableau/next/de-de/pro/desktop/amazon_athena_idp.md canonical_url: https://help.tableau.com/v0.0/pro/desktop/de-de/amazon_athena_idp.htm source_site: help.tableau.com content_type: documentation content_hash: f5a770035d89f4e87fee1695ec6d4ca4eaede90b6674d2f2b2e7f8a1791db0a6 description: Set up OAuth 2.0/OIDC identity federation from an external IdP to Amazon Athena for Tableau. --- [Zum Hauptinhalt springen](#main-content) # Einrichten von Amazon Athena IAM OAuth Ab Tableau 2023.2 können Sie OAuth 2.0/OIDC verwenden, um Identitäten von einem externen Identitätsanbieter (IDP) mit Amazon Athena zu verbinden. Je nach Identitätsanbieter sind unterschiedliche Schritte zur Konfiguration der Integration erforderlich. Tableau bietet lediglich detaillierte Anweisungen zur Konfiguration von Tableau-Produkten. Anweisungen zum Konfigurieren Ihres Identitätsanbieters (z. B. Okta) finden Sie in der Hilfe und den Tutorials des jeweiligen Produkts. Dieses Dokument bietet einen allgemeinen Überblick über den Konfigurationsprozess. **Hinweis**: Einmalig zu verwendende Aktualisierungstoken (auch rollierende Aktualisierungstoken oder Aktualisierungstoken-Rotation genannt) werden für OAuth-Verbindungen mittels Tableau Bridge zu Tableau Cloud derzeit nicht unterstützt. Die Unterstützung dieser Token ist für eine zukünftige Version geplant. **Hinweis:** Schritte und Links, die außerhalb der Tableau- und Salesforce-Inhalte liegen, sind möglicherweise nicht aktuell oder korrekt. ## Konfigurieren des Identitätsanbieters (IDP) 1. Erstellen Sie OAuth-Clients auf dem IDP für Tableau Desktop und Tableau Server. Der Desktop-Client aktiviert [PKCE](https://auth0.com/docs/get-started/authentication-and-authorization-flow/authorization-code-flow-with-pkce) und verwendet [http://localhost](http://localhost/)\-Weiterleitungen. 2. Fügen Sie benutzerdefinierte Ansprüche hinzu, die für die Autorisierung von Rollen verwendet werden sollen. Weitere Einzelheiten zu Ansprüchen und Bereichen finden Sie unter [Scopes vs Claims](https://curity.io/resources/learn/scopes-vs-claims/) (Unterschied zwischen Bereichen und Ansprüchen). 3. Erstellen Sie die Tableau OAuth-Konfigurationsdatei. Ausführliche Informationen hierzu finden Sie unter [OAuth Configuration and Usage](https://tableau.github.io/connector-plugin-sdk/docs/oauth) (OAuth-Konfiguration und -Verwendung) auf [Github](https://tableau.github.io/connector-plugin-sdk/docs/oauth). Beispiele dazu finden Sie [hier](https://github.com/tableau/connector-plugin-sdk/tree/master/samples/components/oauth). Stellen Sie sicher, dass Sie den Tableau OAuth-Konfigurations-IDs „custom\_“ voranstellen. 4. Installieren Sie Tableau OAuth-Konfigurationsdateien auf Tableau Desktop\-Computern, Tableau Server- und Tableau Cloud-Sites, wie im oben verlinkten Thema zur OAuth-Konfiguration erläutert. ## Konfigurieren des IDP auf AWS 1. Erstellen Sie die IDP-Entität. Siehe die Amazon-Dokumente [Web Identity Federation](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_oidc.html), [Erstellen eines OIDC-Identitätsanbieters](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_oidc.html). 2. Der IDP muss für den Verbund mit Athena auf eine Weise konfiguriert werden, die mit dem Treiber-Plug-in von Tableau funktioniert. Die folgenden Anbieterinformationen werden sowohl für Tableau Server- als auch für Tableau Desktop\-Schemas verwendet: AwsCredentialsProviderClass=com.simba.athena.iamsupport.plugin.JwtCredentialsProvider role\_session\_name=AthenaJWT 3. Erstellen Sie Rollen und Richtlinien speziell für den IDP. Sehen [Erstellen einer Rolle für OIDC](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-idp_oidc.html) in den AWS-Dokumenten. ## Konfigurieren von Rollen für Athena Fügen Sie die für Athena erforderlichen Richtlinien bei. Es gibt viele Möglichkeiten, dies durchzuführen. Eine Möglichkeit wäre, benutzerdefinierte Ansprüche zu verwenden. Sie können benutzerdefinierte Ansprüche im openID-Token verwenden, um Rollen zu autorisieren. Diesen Rollen wird Zugriff auf andere Ressourcen gewährt. Weitere Informationen finden Sie unter: - Lernprogramm: [Konfigurieren des Verbundzugriffs für Okta-Benutzer auf Athena mithilfe von Lake Formation und JDBC](https://docs.aws.amazon.com/athena/latest/ug/security-athena-lake-formation-jdbc-okta-tutorial.html). - [Fein abgestufter Zugriff auf Datenbanken und Tabellen im AWS Glue Data Catalog.](https://docs.aws.amazon.com/athena/latest/ug/fine-grained-access-to-glue-resources.html) ## Herstellen einer Verbindung zu Athena Der Benutzer muss den zu erwartenden AWS Role ARN (Amazon Resource Name) angeben und dann unter OAuth Provider (OAuth-Anbieter) die zuvor installierte OAuth-Konfiguration auswählen. Beachten Sie, dass das Dropdown-Menü zur Auswahl einer Konfiguration nur angezeigt wird, wenn mehrere Konfigurationen zur Auswahl stehen. Bei ordnungsgemäßer Konfiguration wird der Benutzer zum IDP weitergeleitet, um Token für Tableau zu authentifizieren und zu autorisieren. Tableau erhält OpenID- und Refresh-Tokens. AWS ist in der Lage, das Token und die Signatur vom IDP zu validieren, die Ansprüche vom Token zu extrahieren, die Zuordnung von Ansprüchen zur IAM-Rolle abzurufen und Tableau die Übernahme der Rolle im Namen des Benutzers entweder zu erlauben oder zu blockieren. [Beispiel: AssumeRoleWithWebIdentity](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRoleWithWebIdentity.html) ![Melden Sie sich im Athena-Fenster an](/tableau/next/de-de/pro/desktop/de-de/Img/athenaidp_signin.png) ## Token In der Standardeinstellung übergibt Athena OAuth IAM das ID-Token an den Treiber. Für lokale Kunden – inklusive von Kunden, die Tableau Bridge verwenden – können Sie stattdessen eine TDC-Datei verwenden, um das Zugriffstoken zu übergeben. Weitere Informationen zur Konfiguration und Installation von TDC-Dateien finden Sie unter [Anpassen und Optimieren von Verbindungen](https://help.tableau.com/current/pro/desktop/de-de/connect_customize.htm). ## Okta-Konfiguration Wenn Sie Okta verwenden, ist es besser, einen "benutzerdefinierten Autorisierungsserver" anstelle des "Organisationsautorisierungsservers" zu verwenden. Die benutzerdefinierten Autorisierungsserver sind flexibler. Standardmäßig wird ein benutzerdefinierter Autorisierungsserver erstellt, der "Standard" heißt. Die Autorisierungs-URL sieht wie das folgende Beispiel aus. `https://${yourOktaDomain}/oauth2/{authServerName}/v1/authorize` ![Okta-Dashboard](/tableau/next/de-de/pro/desktop/de-de/Img/athena_okta.png)