---
schema_version: "1"
id: bdc3c4dcd52b346e33ee7920af943ca8bf67a2b690ea83e941f36f796c418d2d
title: Inhaltssicherheitsrichtlinie
collection: tableau
version: next
locale: de-de
portal_url: https://docs.salesforce.com/tableau/next/de-de/server-linux/security_csp.md
canonical_url: https://help.tableau.com/v0.0/server-linux/de-de/security_csp.htm
source_site: help.tableau.com
content_type: documentation
content_hash: 505baae56f32ee0b04f71cb22f35e04178d42b93ac48911ba170d543d98e198b
description: Configure and enable Content Security Policy on Tableau Server.
---
[Zum Hauptinhalt springen](#main-content)

# Inhaltssicherheitsrichtlinie

Tableau Server unterstützt den Inhaltssicherheitsrichtlinien-Standard (Content Security Policy, CSP). CSP dient als zusätzliche Sicherheitsebene zum Schutz vor der Site-übergreifenden Skripterstellung und vor anderen webbasierten Angriffen mit bösartigen Absichten. CSP wird als HTTP-Antwortheader implementiert, mit dessen Hilfe Sie angeben können, wo externe Ressourcen wie Skripte und Bilder sicher geladen werden können.

Weitere Informationen zu CSP finden Sie auf der [Mozilla-Website](https://developer.mozilla.org/en-US/docs/Web/HTTP/CSP).

## Konfigurieren und Aktivieren von CSP

CSP wird mithilfe des Befehls [tsm configuration set-Optionen](https://help.tableau.com/v0.0/server-linux/de-de/cli_configuration-set_tsm.htm) konfiguriert und aktiviert. Wenn Sie Tableau Server in einer verteilten Bereitstellung ausführen, führen Sie diese Befehle auf dem Ausgangsknoten im Cluster aus. Nach der Ausführung des Befehls [tsm pending-changes apply](https://help.tableau.com/v0.0/server-linux/de-de/cli_pending-changes.htm#pending-changes-apply) wird die Konfiguration im gesamten Cluster angewendet.

### Schritt 1: Festlegen von Standardanweisungen

Tableau Server beinhaltet den Satz mit Standardanweisungen in der Tabelle unten.

Verwenden Sie zum Festlegen einer Anweisung die folgende tsm-Syntax:

`tsm configuration set -k content_security_policy.directive.<directive_name> -v "<value>"`

Führen Sie beispielsweise zum Festlegen der Anweisung `connect_src` den folgenden Befehl aus:

`tsm configuration set -k content_security_policy.directive.connect_src -v "* unsafe-inline"`

<table style="width: 100%;" class="simple-table"><colgroup><col style="width: 45%;"><col style="width: 20%;"><col style="width: 25%;"></colgroup><tbody><tr><th>Option</th><th>Standardwert</th><th><p>Beschreibung</p></th></tr><tr><td>content_security_policy.directive.default_src</td><td>‘none’</td><td><p>Dient als Fallback für die anderen Abrufanweisungen.</p><p><a href="https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/default-src" target="_blank">Gültige Werte für <code>default_src</code></a>.</p></td></tr><tr><td>content_security_policy.directive.connect_src</td><td>*</td><td><p>Beschränkt die URLs, die mithilfe von Skriptschnittstellen geladen werden können.</p><p><a href="https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/connect-src" target="_blank">Gültige Werte für <code>connect_src</code></a>.</p></td></tr><tr><td>content_security_policy.directive.script_src</td><td>*</td><td><p>Gibt gültige Quellen für JavaScript an.</p><p><a href="https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/script-src" target="_blank">Gültige Werte für <code>script_src</code></a>.</p></td></tr><tr><td>content_security_policy.directive.style_src</td><td>* ‘unsafe-inline’</td><td><p>Gibt gültige Quellen für Stylesheets an.</p><p><a href="https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/style-src" target="_blank">Gültige Werte für <code>style_src</code></a>.</p></td></tr><tr><td>content_security_policy.directive.img_src</td><td>* data:</td><td><p>Gibt gültige Quellen für Bilder und Favicons an.</p><p><a href="https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/img-src" target="_blank">Gültige Werte für <code>img_src</code></a>.</p></td></tr><tr><td>content_security_policy.directive.font_src</td><td>* data:</td><td><p>Gibt gültige Quellen für Schriften an, die mit @font-face geladen werden.</p><p><a href="https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/font-src" target="_blank">Gültige Werte für <code>font_src</code></a>.</p></td></tr><tr><td>content_security_policy.directive.frame_src</td><td>* data:</td><td><p>Gibt gültige Quellen für verschachtelte Browsing-Kontexte an, die mithilfe von Elementen wie &lt;frame&gt; und &lt;iframe&gt; geladen werden.</p><p><a href="https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/frame-src" target="_blank">Gültige Werte für <code>frame_src</code></a>.</p></td></tr><tr><td>content_security_policy.directive.object_src</td><td>data:</td><td><p>Gibt gültige Quelle für die Elemente &lt;object&gt;, &lt;embed&gt; und &lt;applet&gt; an.</p><p><a href="https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/object-src" target="_blank">Gültige Werte für <code>object_src</code></a>.</p></td></tr><tr><td>content_security_policy.directive.report_uri</td><td>/vizql/csp-report</td><td><p>Weist den Benutzer-Agent an, CSP-Verletzungsversuche zu melden. Diese Verletzungsberichte bestehen aus JSON-Dokumenten, die über eine HTTP POST-Anfrage an die angegebene URI gesendet werden.</p><p><a href="https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/report-uri" target="_blank">Gültige Werte für <code>report_uri</code></a>.</p></td></tr></tbody></table>

### Schritt 2: Hinzufügen zusätzlicher Richtlinien (optional)

Bei den in Tableau Server enthaltenen Standardrichtlinien handelt es sich um eine Teilmenge von Richtlinien, die von CSP unterstützt werden.

Eine vollständige Liste der unterstützten CSP-Richtlinien finden Sie unter [https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy](https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy).

Sie können dem vorhandenen Standardsatz Richtlinien hinzufügen, indem Sie die neue Richtlinie in den Namespace "content\_security\_policy.directive" einfügen. Beim Hinzufügen neuer Richtlinien müssen Sie den Parameter `--force-keys` einbeziehen. Die Syntax ist wie folgt:

`tsm configuration set -k content_security_policy.directive.<new_directive_name> -v "<value>" --force-keys`

Führen Sie beispielsweise zum Hinzufügen der Anweisung [`worker-src`](https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/worker-src) den folgenden Befehl aus:

`tsm configuration set -k content_security_policy.directive.worker-src -v "none" --force-keys`

### Schritt 3: Angeben von Anweisungen vom Typ "Nur Bericht" (optional)

Sie können CPS konfigurieren, dass einige Anweisungen in die Berichterstattung einbezogen und andere erzwungen werden. Wenn Sie die Einstellung "content\_security\_policy.enforce\_enabled" auf "true" festlegen, werden alle Anweisungen erzwungen (selbst wenn "content\_security\_policy.report\_only\_enable" ebenfalls auf "true" festgelegt ist).

Wenn Sie die Anweisungen als "Nur Bericht" angeben und nicht erzwingen möchten, fügen Sie die Anweisungen dem Namespace "report\_only\_directive" hinzu. Beim Hinzufügen neuer Richtlinien müssen Sie den Parameter `--force-keys` einbeziehen. Die Syntax ist wie folgt:

`tsm configuration set -k content_security_policy.report_only_directive.<directive_name> -v "<value>" --force-keys`

Wenn Sie beispielsweise nur Berichte für die Anweisung `script_src` erstellen möchten, führen Sie den folgenden Befehl aus:

`tsm configuration set -k content_security_policy.report_only_directive.script_src -v " http://*.example.com" --force-keys`

### Schritt 1: Aktivieren von CSP für Tableau Server

Nachdem Sie Anweisungen konfiguriert haben, aktivieren Sie CSP für Tableau Server.

Die folgenden Optionen dienen der Aktivierung des Erzwingungs- oder Nur-Bericht-Modus für die von Ihnen festgelegten Anweisungen.

<table style="width: 100%;" class="simple-table"><colgroup><col style="width: 45%;"><col style="width: 20%;"><col style="width: 25%;"></colgroup><tbody><tr><th>Option</th><th>Standardwert</th><th><p>Beschreibung</p></th></tr><tr><td>content_security_policy.enforce_enabled</td><td>false</td><td><p>Fügt allen Anfragen eine CSP-Kopfzeile hinzu, sodass jegliche Verstöße vom Browser erzwungen werden.</p></td></tr><tr><td>content_security_policy.report_only_enabled</td><td>true</td><td>Fügt allen Anfragen eine CSP-Kopfzeile hinzu, sodass jegliche Verstöße in unseren VizQL-Clientprotokollen aufgezeichnet, jedoch nicht vom Browser erzwungen werden.</td></tr></tbody></table>

Um die Erzwingung der von Ihnen angegebenen CSP-Anweisungen zu aktivieren, führen Sie den folgenden Befehl aus:

`tsm configuration set -k content_security_policy.enforce_enabled -v true`

### Schritt 5: Ausführen von "tsm pending-changes apply"

Wenn Sie die CSP-Konfiguration abgeschlossen haben, führen Sie [tsm pending-changes apply](https://help.tableau.com/v0.0/server-linux/de-de/cli_pending-changes.htm#pending-changes-apply) aus.

Wenn die ausstehenden Änderungen einen Neustart des Servers erfordern, zeigt der Befehl `pending-changes apply` eine Meldung an, um Sie darüber zu informieren, dass ein Neustart stattfinden wird. Diese Meldung wird auch angezeigt, wenn der Server angehalten ist. In diesem Fall erfolgt jedoch kein Neustart. Sie können diese Meldung mithilfe der Option `--ignore-prompt` unterdrücken, dies ändert jedoch nichts an dem Neustartverhalten. Wenn die Änderungen keinen Neustart erfordern, werden die Änderungen ohne Meldung angewendet. Weitere Informationen finden Sie unter [tsm pending-changes apply](https://help.tableau.com/v0.0/server-linux/de-de/cli_pending-changes.htm#pending-changes-apply).

## Anzeigen des CSP-Berichts

Wenn Sie CSP-Verstöße für eine bestimmte Visualisierung anzeigen möchten, laden Sie die Visualisierung in einem Browser, der Entwicklertools beinhaltet. In diesem Beispiel wird der Chrome-Browser verwendet.

1. Laden Sie eine Testvisualisierung mit Verstößen, die in der Tableau Server-Bereitstellung gehostet wird, in der Sie CSP konfiguriert haben.
2. Geben Sie `CTRL+Shift+I` ein, um die Entwicklertools in Chrome zu öffnen.
3. Klicken Sie auf die Registerkarte **Netzwerk**.
4. Geben Sie im Feld **Filter** den Eintrag `csp-report` ein, und klicken Sie dann auf **Alle suchen**.
    
    - Wenn keine Verstöße vorliegen, gibt die Suche keine CSP-Berichte zurück.
    - Liegen Verstöße vor, klicken Sie im Ergebnisbereich auf die Registerkarte "Kopfzeilen", und führen Sie einen Bildlauf nach unten durch, um die **Nutzlast der Anforderung** anzuzeigen.