--- schema_version: "1" id: 18c8065d34bd3fb83c5fb1010ed6511748a164c107cbb234334ef99dfa34b681 title: Anforderungen für die Verwendung von OpenID Connect collection: tableau version: next locale: de-de portal_url: https://docs.salesforce.com/tableau/next/de-de/server/openid_auth_requirements.md canonical_url: https://help.tableau.com/v0.0/server/de-de/openid_auth_requirements.htm source_site: help.tableau.com content_type: documentation content_hash: cfb54674068dea0d23c79e96c3189bfad84d2f7326d1915425fc927169a872fe description: Understand the requirements for using OpenID Connect with Tableau Server. --- [Zum Hauptinhalt springen](#main-content) # Anforderungen für die Verwendung von OpenID Connect In diesem Thema werden die Anforderungen für die Verwendung von OpenID Connect mit Tableau Server beschrieben. **Hinweis:** Die TSM-Befehle für die Authentifizierungskonfiguration gelten nur für OIDC-Authentifizierung, die während der Einrichtung von Tableau Server in TSM konfiguriert wurde. Um Änderungen an der OIDC-Authentifizierungskonfiguration für Identitätspools vorzunehmen, können Sie den Endpunkt [Authentifizierungskonfiguration aktualisieren](https://help.tableau.com/current/api/rest_api/de-de/REST/TAG/index.html#operation/AuthnService_UpdateAuthConfiguration) mithilfe der Tableau REST OpenAPI verwenden. **Zusammenfassung der Anforderungen** - Identitätsanbieter-Konto - Lokaler Identitätsspeicher - Identitätsprovider-Ansprüche: Zuordnen von Benutzern - Authentifizierungskontext ## Identitätsanbieter-Konto Sie müssen über Zugriff auf einen Identitätsanbieter (IdP) verfügen, der das OpenID Connect-Protokoll unterstützt. Sie benötigen zudem ein Konto beim IdP. OpenID Connect wird von vielen Identitätsanbietern unterstützt. Bei dem OIDC-Protokoll handelt es sich um einen offenen und flexiblen Standard. Nicht alle Implementierungen des Standards sind identisch. Arbeiten Sie beim Konfigurieren von Tableau Server für OIDC mit Ihrem IdP zusammen. Die Google IdP-Implementierung wurde ausgiebig mit Tableau Server getestet. Dabei handelt es sich um den Modell-IdP für die in diesen Themen dokumentierte Konfiguration. ## Lokaler Identitätsspeicher Um OpenID Connect in Tableau Server verwenden zu können, muss eine der folgenden Bedingungen erfüllt sein: - **Wenn OIDC in TSM während der Einrichtung von Tableau Server konfiguriert wird**, muss Tableau Server für die Verwendung eines lokalen Identitätsspeichers konfiguriert sein. Der Server muss so konfiguriert werden, dass Sie explizit Benutzer auf Tableau Server erstellen können, anstatt sie aus einem externen Verzeichnis wie Active Directory zu importieren. Das Verwalten von Benutzern mit einem externen Identitätsspeicher wird von OpenID nicht unterstützt. - **Bei der Konfiguration von OIDC mit** [Identitätspools](https://help.tableau.com/v0.0/server/de-de/identity_pools.htm) kann OIDC mit 1.) einem lokalen Identitätsspeicher konfiguriert werden, oder 2.) AD oder LDAP ist der Identitätsspeicher, der während der Einrichtung von Tableau Server in TSM konfiguriert wird. ## Identitätsprovider-Ansprüche: Zuordnen von Benutzern Für die erfolgreiche Anmeldung bei Tableau Server muss der jeweilige Benutzer in OpenID bereitgestellt und dann einem Benutzerkonto in Tableau Server zugeordnet werden. OpenID verwendet eine Methode, die auf _Ansprüchen_ basiert, um Benutzerkontoattribute für andere Anwendungen freizugeben. Ansprüche umfassen Benutzerkontoattribute. Zu Ansprüchen gehören Benutzerkontoattribute wie E-Mail-Adresse, Telefonnummer und der angegebene Name. Wie das Zuordnen von IdP-Ansprüchen zu Benutzerkonten in Tableau Server erfolgt, erfahren Sie im Abschnitt [OpenID Connect](https://help.tableau.com/v0.0/server/de-de/openid_auth.htm#Authenti). Tableau Server nutzt die IdP-Ansprüche, um Benutzerkonten vom IdP denen zuzuordnen, die in Tableau Server gehostet sind. In der Standardeinstellung geht Tableau Server davon aus, dass der IdP den Anspruch email weitergibt. Je nach Ihrem IdP müssen Sie Tableau Server möglicherweise so konfigurieren, dass ein anderer IdP-Anspruch verwendet wird. Wenn Sie Google als IdP nutzen, verwenden Sie den standardmäßigen Anspruch `email`, um IdP-Identitäten zu Tableau Server\-Benutzerkonten zuzuordnen. Wenn Sie einen anderen IdP als Google nutzen, sollten Sie sich an diesen IdP wenden, um zu erfahren, für welchen Anspruch Sie Tableau Server konfigurieren sollten. ### Standard: Verwenden des "email"-Anspruchs zum Zuordnen von Benutzern Standardmäßig muss der Benutzername des Benutzers in Tableau Server mit dem `email`\-Anspruch in dem ID-Token des IdPs übereinstimmen. Daher müssen Sie in der Standardkonfiguration E-Mail-Adressen (die auch als UPN bezeichnet werden) als den Benutzernamen in Tableau Server verwenden. Wenn Sie Google als IdP verwenden, muss der Benutzername in Tableau Server die Gmail-Adresse (`alice@gmail.com`) des Benutzers sein. Die Verwendung der vollständigen E-Mail-Adresse stellt sicher, dass der Benutzername in Tableau Server eindeutig ist, selbst wenn zwei Benutzer dieselbe E-Mail-Adresse verwenden, aber verschiedene E-Mail-Hosts haben. **Hinweis**: Beim Erstellen einer Benutzeridentität in Tableau Server geben Sie einen Benutzernamen, ein Kennwort und optional eine E-Mail-Adresse an. Wenn Sie OpenID Connect in der Standardkonfiguration verwenden, ist der Benutzername (wird als eine E-Mail-Adresse ausgedrückt) der Wert, der mit dem Namen beim Identitätsanbieter übereinstimmen muss. Die optionale E-Mail-Adresse in der Tableau Server\-Benutzeridentität wird nicht für die OpenID-Authentifizierung verwendet. #### Ignorieren des Domänennamens Sie können Tableau so konfigurieren, dass der Domänenteil einer E-Mail-Adresse beim Abgleichen des `email`\-Anspruchs des IdPs mit einem Benutzerkonto in Tableau Server ignoriert wird. In diesem Szenario könnte der `email`\-Anspruch im IdP `alice@example.com` lauten, was jedoch mit einem Benutzer namens `alice` in Tableau Server übereinstimmen würde. Das Ignorieren des Domänennamens kann hilfreich sein, wenn Sie in Tableau Server bereits Benutzer definiert haben, die mit dem Benutzernamenteil des `email`\-Anspruchs übereinstimmen, nicht jedoch mit den Domänenteilen. **Wichtig**: Sie sollten den Benutzerdomänennamen nicht ignorieren, ohne Vorsichtsmaßnahmen zu ergreifen! Überprüfen Sie insbesondere, ob die Benutzernamen über die konfigurierten Domänen hinweg, die Sie in Ihrem Identitätsanbieter erstellt haben, eindeutig sind. Wenn festgelegt wird, dass Tableau Server den Benutzerdomänennamen ignoriert, kann dies potenziell zu einer unerwünschten Benutzeranmeldung führen. Angenommen, Ihr Identitätsanbieter wurde für mehrere Domänen (`example.com` und `tableau.com`) konfiguriert. Wenn sich zwei Benutzer mit demselben Vornamen, aber unterschiedlichen Benutzerkonten (`alice@tableau.com` und `alice@example.com`) in Ihrer Organisation befinden, wird der erste, der die OpenID-Bereitstellungssequenz abschließt, die `sub`\-Zuordnung im Identitätsanbieter beanspruchen. Wenn der falsche Benutzer zugeordnet ist, kann sich der andere nicht anmelden, bis der zugehörige `sub`\-Wert zurückgesetzt wird. Um Tableau Server so zu konfigurieren, dass Domänennamen in Benutzernamen des IdP ignoriert werden, legen Sie für `tsm authentication openid configure --ignore-domain` die Option `true` fest. Weitere Informationen finden Sie unter [tsm authentication openid ](https://help.tableau.com/v0.0/server/de-de/cli_authentication_tsm.htm#TSMOIDC). Wenn Sie die Option "tsm authentication openid configure `--ignore-domain`" ändern, sodass die Domäne in Benutzernamen ignoriert wird, müssen alle Benutzernamen in Tableau Server über einen Domänennamen verfügen. ### Verwenden von benutzerdefinierten Ansprüchen zum Zuordnen von Benutzern Wie in der [OpenID Connect](https://help.tableau.com/v0.0/server/de-de/openid_auth.htm#Authenti) erläutert, ist der `sub`\-Anspruch oftmals in IdP-Ansprüchen enthalten. Der `sub`\-Anspruch ist für gewöhnlich eine eindeutige Zeichenfolge, die ein bestimmtes Benutzerkonto identifiziert. Der Vorteil in der Verwendung eines `sub`\-Anspruchs besteht darin, dass er sich nicht ändert, selbst wenn Sie oder ein anderer Administrator andere Benutzerattribute oder IdP-Ansprüche (E-Mail-Adresse, Telefonnummer usw.) aktualisieren, die mit diesem Konto verknüpft sind. In der Standardeinstellung identifiziert und überprüft Tableau Server OpenID-Benutzer anhand des `sub` \-Anspruchs im IdP-ID-Token. Der Wert aus dem OpenID-`sub` \-Anspruch muss dem zugehörigen Benutzer in Tableau Server zugeordnet werden. Da es sich beim `sub` \-Anspruch um eine beliebige Zeichenfolge handelt, wird während der ersten Anmeldesitzung ein anderer Anspruch zum Verknüpfen von Konten verwendet. Wenn sich ein Benutzer erstmals mit OpenID bei Tableau Server anmeldet, gleicht Tableau das OpenID-Benutzerkonto mit einem zugehörigen Benutzerkonto in Tableau Server ab. Tableau verwendet standardmäßig den IdP-Anspruch `email` zum Identifizieren des Tableau-Benutzers. Tableau aktualisiert dann den Datensatz des entsprechenden Benutzers mit dem `sub`\-Anspruch aus Open-ID. Da im `sub`\-Anspruch bei nachfolgenden Sitzungen immer das ID-Token zusammen mit anderen Ansprüchen enthalten ist, ermittelt Tableau den entsprechenden Benutzer nur anhand des `sub`\-Anspruchs. Für einige Organisationen ist das Zuordnen von Benutzernamen mit E-Mail-Adressen nicht zuverlässig oder wird durch den IdP nicht unterstützt. Ab Tableau Server 10.2 können Sie Benutzerkonten von jedem beliebigen IdP-Anspruch zu einem Tableau Server-Benutzernamen zuordnen. Der von Ihnen verwendete IdP-Anspruch muss exakt zu dem zugehörigen Tableau Server\-Benutzernamen passen. Im folgenden Beispiel lautet der Benutzername `kwilliams`. ![Ein Formular zum Hinzufügen eines neuen Benutzers zu Tableau Server.](/tableau/next/de-de/server/de-de/Img/users_add_srvruser.png) Um den IdP-Anspruch zu ändern, der zum Zuordnen der Identität in Tableau Server verwendet wird, geben Sie den Befehl `tsm authentication openid map-claims --user-name` ein. Weitere Informationen finden Sie unter [tsm authentication openid ](https://help.tableau.com/v0.0/server/de-de/cli_authentication_tsm.htm#TSMOIDC). ### Ändern des `sub`\-Anspruchs Wie oben beschrieben, ist der `sub`\-Anspruch der Bezeichner, der von Tableau Server verwendet wird, um Benutzer nach der erstmaligen Zuordnungssitzung zu identifizieren. Der `sub`\-Anspruch wird in das zugehörige Benutzerkonto in Tableau Server geschrieben. Wenn Ihr IdP keinen `sub`\-Anspruch bereitstellt, können Sie stattdessen einen beliebigen zu verwendenden Anspruch angeben. Analog zu `sub` muss der von Ihnen angegebene Anspruchswert eindeutig sein und sollte nicht geändert werden, wenn andere Benutzeransprüche aktualisiert werden. Um einen anderen IdP-Anspruch für den Standard-Unteranspruch anzugeben, verwenden Sie den Befehl `tsm authentication openid map-claims --id`. Weitere Informationen finden Sie unter [tsm authentication openid ](https://help.tableau.com/v0.0/server/de-de/cli_authentication_tsm.htm#TSMOIDC). Hierbei ist `arbitraryClaim` der Name des IdP-Anspruchs, den Sie als Ersatz für den `sub`\-Anspruch verwenden möchten. ## Authentifizierungskontext Wenn Ihr OpenID Connect IdP einen bestimmten Authentifizierungskontext erfordert, können Sie eine Liste der wesentlichen und freiwilligen ACR-Werte mit den Konfigurationswerten `vizportal.openid.essential_acr_values` und `vizportal.openid.voluntary_acr_values` angeben. Weitere Informationen finden Sie unter [tsm configuration set-Optionen](https://help.tableau.com/v0.0/server/de-de/cli_configuration-set_tsm.htm).