--- schema_version: "1" id: d2425f62ff2c7020bc8e86703aea8576a3aea250e747de4b04919dc94f455156 title: Configurar aplicaciones conectadas con confianza de OAuth 2.0 collection: tableau version: next locale: es-es portal_url: https://docs.salesforce.com/tableau/next/es-es/online/connected_apps_eas.md canonical_url: https://help.tableau.com/v0.0/online/es-es/connected_apps_eas.htm source_site: help.tableau.com content_type: documentation content_hash: 759bff001af18d5a825b27c6a8f8022bf9c00229891a5c44d21f6669f96bded2 description: Configure connected apps with OAuth 2.0 trust by registering an external authorization server. --- [Saltar al contenido principal](#main-content) # Configurar aplicaciones conectadas con confianza de OAuth 2.0 Como administrador de sitio de Tableau Cloud, puede registrar uno o más servidores de autorización externos (EAS) para establecer una relación de confianza entre el sitio de Tableau Cloud y el EAS usando el protocolo estándar OAuth 2.0. **Importante:** - Algunos de los procedimientos de este tema requieren configuración con software y servicios de terceros. Hemos hecho todo lo posible por verificar los procedimientos para habilitar la funcionalidad EAS en Tableau Cloud. Sin embargo, el software y los servicios de terceros pueden cambiar o su organización puede ser diferente. Si tiene problemas, consulte la documentación de terceros para obtener detalles de configuración autorizados y asistencia. - Para que el token de sesión sea válido, los relojes de la aplicación externa y el servidor que aloja la aplicación externa deben configurarse en hora universal coordinada (UTC). Si alguno de los relojes usa un estándar diferente, no se confiará en la aplicación conectada. ## Funcionamiento de las aplicaciones conectadas de Tableau con la confianza de OAuth 2.0 La relación de confianza entre su sitio de Tableau Cloud y la aplicación externa se establece y verifica a través de un token de autenticación en el estándar JSON Web Token (JWT). Cuando se carga contenido de Tableau insertado en su aplicación externa, se utiliza un flujo de OAuth de código de autorización. Cuando los usuarios inicien sesión correctamente en el IdP, iniciarán sesión automáticamente en Tableau Cloud. Siga los pasos que se describen a continuación para registrar su EAS con su sitio de Tableau Cloud. ### Componentes clave de una aplicación conectada Los siguientes componentes del sistema conectado funcionan junto con el JWT en su aplicación externa para autenticar a los usuarios y mostrar contenido insertado. - **Servidor de autorización externo (EAS):** el servidor, normalmente su IdP, que funciona como interfaz entre el usuario y la aplicación externa. El servidor autentica y autoriza el acceso del usuario al contenido protegido de Tableau. - **URL del emisor:** la URL que identifica de forma única la instancia EAS. ### Flujo de trabajo de la aplicación conectada #### Integración de flujos de trabajo El siguiente diagrama ilustra cómo funciona la autenticación entre el servidor de autorización externa (EAS), la aplicación externa (servidor web y página web) y la aplicación conectada de Tableau. ![](/tableau/next/es-es/online/es-es/Img/connectedapp_how_EAS.png) 1. **El usuario visita la página web:** cuando un usuario visita el contenido insertado en una página web, la página web envía una petición GET a la aplicación externa. 2. **La aplicación externa redirige la solicitud a EAS:** la aplicación externa responde con una página web que redirecciona al servidor de autorización externo (EAS). 3. **El usuario se autentica con EAS:** el usuario se autentica y autoriza con el EAS. 4. **EAS responde a la página web con el código de autorización:** el EAS responde a la página con un código de autorización y redirecciona nuevamente a la página web. 5. **EAS convierte el código de autorización a JWT:** la página web llama al EAS para convertir el código de autorización en un JWT, que la página web coloca en la URL del contenido incrustado. 6. **La página web solicita contenido de Tableau:** la página web carga el iFrame y envía una solicitud GET a Tableau. 7. **Tableau valida el token:** Tableau valida el JWT en la URL con la firma y responde con el contenido y respeta los alcances de inserción definidos en el JWT. ## Crear una aplicación conectada ### Paso 1: Antes de comenzar Para registrar un EAS con su sitio de Tableau Cloud, debe tener un EAS ya configurado. Además, el EAS debe enviar un JSON Web Token (JWT) válido que contenga los reclamos registrados y el encabezado que se enumeran en la siguiente tabla.
NotificaciónNombreDescripción o valor requerido
"kid"ID de claveObligatorio (en el encabezado). Un identificador de clave único del proveedor de identidad.
"iss"EmisorRequerido (en encabezado o como notificación). URI de emisor único, en HTTPS, que identifica la aplicación de conexión de confianza y su clave de firma.
"alg"AlgoritmoObligatorio (en el encabezado). Algoritmo de firma JWT. Los nombres de algoritmos admitidos aparecen enumerados en la página Class JWSAlgorithm, en la documentación de javadoc.io.
"sub"AsuntoNombre de usuario (dirección de correo electrónico) del usuario de Tableau Cloud autenticado.
"aud"Audiencia

El valor debe ser: "tableau:<site_luid>"

Para obtener el LUID del sitio, puede usar el método de inicio de sesión de la API de REST de Tableau o seguir los pasos a continuación para copiar el ID del sitio. Nota: Debe registrar un EAS utilizando el procedimiento descrito aquí antes de poder copiar el ID del sitio.

  1. Seleccione Configuración > Aplicaciones conectadas y luego seleccione la aplicación conectada al Servidor de autorización externo.

  2. Haga clic en el botón Copiar ID del sitio.

    Detalles del servidor de autorización externo, con un botón para copiar el ID del sitio.

"exp"Tiempo de expiración

Un JWT válido no debe haber caducado. El tiempo de caducidad del JWT (en UTC) debe estar dentro del período de validez máximo, que es de 10 minutos.

"jti"ID de JWTLa notificación de ID de JWT proporciona un identificador único para el JWT y distingue entre mayúsculas y minúsculas.
"scp"Ámbito

Para insertar flujos de trabajo, los valores admitidos incluyen:

"tableau:views:embed"
"tableau:views:embed_authoring"
"tableau:metrics:embed" (Retirada en octubre de 2023 (Tableau 2023.3))
"tableau:ask_data:embed"(Retirado en febrero de 2024 (Tableau 2024.1)

Notas:

  • Los valores deben pasarse como un tipo de lista.
  • Para tableau:views:embed, el ámbito respeta los permisos de los usuarios ya configurados en Tableau Cloud y permite a los usuarios interactuar con las herramientas en la vista insertada si están disponibles en la vista original.
  • Recomendamos que el código de inserción excluya el parámetro de la barra de herramientas. Para obtener más información, consulte Problemas conocidos (solo para insertar flujos de trabajo) más adelante.

Para conocer los flujos de trabajo de autorización de la API de REST, consulte Métodos de la API de REST que admiten la autorización JWT.

Para Flujos de trabajo de la API de metadatos que utilizan la API de REST para la autenticación, el único alcance admitido es tableau:content:read.

Para Flujos de trabajo de VizQL Data Service que utilizan la API de REST para la autenticación, el único alcance admitido es tableau:viz_data_service:read.

https://tableau.com/odaAcceso bajo demanda: reclamar (habilitar capacidad)Solo para insertar flujos de trabajo.

El valor debe ser "true" y se deben especificar uno o más grupos de Tableau Cloud (consulte la siguiente fila). Para obtener más información, incluidos requisitos previos como la licencia de Insertar análisis o Bloques de Viewer basados en capacidad, consulte la Personalizar y controlar el acceso a los datos en la ayuda de la API de inserción de Tableau versión 3.

https://tableau.com/groupsAcceso bajo demanda: reclamar (especifique el nombre del grupo)Solo para insertar flujos de trabajo.

El valor debe coincidir con el nombre de uno o más grupos en Tableau Cloud. Para obtener más información, incluidos requisitos previos como la licencia de Insertar análisis o Bloques de Viewer basados en capacidad, consulte la Personalizar y controlar el acceso a los datos en la ayuda de la API de inserción de Tableau versión 3.

Pertenencia a un grupo dinámicoSolo para insertar flujos de trabajo.

El valor debe coincidir con el nombre de uno o más grupos en Tableau Cloud. Para obtener más información, consulte Pertenencia a grupos dinámicos mediante confirmaciones

(Atributos de usuario)(Valores de atributo de usuario)

Solo para insertar flujos de trabajo.

puede incluir atributos de usuario en el JWT. Luego, cuando las funciones de atributos de usuario se usan en el contenido insertado, Tableau verifica el contexto del usuario autenticado y determina qué datos se pueden mostrar en el tiempo de ejecución.

Notas:

  • Consulte la ayuda de la API de inserción de Tableau (versión 3) para ver los problemas conocidos y limitaciones que podrían afectar a su flujo de trabajo.

  • Para que el atributo de usuario funcione, 1) debe habilitar la opción Controle el acceso de los usuarios en los flujos de trabajo de autenticación y 2) el autor del contenido debe crear una función de atributo de usuario.
  • Los atributos de usuario distinguen entre mayúsculas y minúsculas.
**Nota:** Las notificaciones de JWT anteriores están documentadas en la sección [Nombres de notificaciones registradas](https://datatracker.ietf.org/doc/html/rfc7519#section-4.1), en la documentación distribuida por la organización Internet Engineering Task Force (IETF). ### Paso 2: Registrar su EAS con Tableau Cloud Al registrar su EAS con Tableau Cloud, establece una relación de confianza entre el EAS y su sitio de Tableau Cloud. Esto significa que cuando los usuarios acceden al contenido de Tableau insertado en su aplicación externa, se les redirige para autenticarse con el IdP. El EAS genera el token de autenticación, que se pasa a Tableau Cloud para su verificación. Una vez que se verifica la relación de confianza, se otorga a los usuarios acceso al contenido insertado. **Nota:** Algunos EAS admiten la opción de mostrar un cuadro de diálogo de consentimiento que solicita la aprobación de los usuarios para que la aplicación acceda al contenido de Tableau. Para garantizar la mejor experiencia para sus usuarios, le recomendamos que configure su EAS para que dé su consentimiento automáticamente a la solicitud de la aplicación externa en nombre de los usuarios. 1. Como administrador de sitio, inicie sesión en Tableau Cloud. 2. En el panel izquierdo, seleccione Configuración > Aplicaciones conectadas. 3. Haga clic en la flecha desplegable del botón Nueva aplicación conectada y seleccione OAuth 2.0 Trust. 4. En el cuadro de diálogo Crear aplicación conectada, siga estos pasos: 1. En el cuadro de texto Nombre, indique un nombre para la aplicación conectada. 2. En el cuadro de texto URL del emisor, pegue la URL del emisor del EAS. 3. Seleccione Habilitar aplicación conectada. Por motivos de seguridad, una aplicación conectada está desactivada de forma predeterminada cuando se crea. 4. Cuando haya terminado, haga clic en el botón Crear. ![Un formulario para crear una aplicación conectada, completo con campos para nombre, URL y una casilla de verificación para habilitar la aplicación.](/tableau/next/es-es/online/es-es/Img/connectedapp_create_eas.png) 5. Después de crear la aplicación conectada, copie el ID del sitio de la aplicación conectada. El ID del sitio se usa para el reclamo "aud" (audiencia) de JWT descrito en el paso 1 anterior. ![Detalles del servidor de autorización externo, con un botón para copiar el ID del sitio.](/tableau/next/es-es/online/es-es/Img/connectedapp_eas_button_luid.png) ### Paso 3: Siguientes pasos #### Para insertar flujos de trabajo Después de configurar su sitio de Tableau Cloud para usar su EAS, debe añadir el código de inserción a su aplicación externa. Asegúrese de incluir el JWT válido generado por su EAS, como se describe en el paso 1, en el componente web al que llama su aplicación externa. Para obtener más información sobre cómo incorporar contenido de Tableau, consulte lo siguiente: - Inserte contenido usando la [API v3 de inserción de Tableau](https://help.tableau.com/current/api/embedding_api/es-es/index.html) . - Atributos de usuario para el control de acceso basado en atributos (ABAC), el acceso bajo demanda y la pertenencia a grupos dinámicos, consulte [Personalizar y controlar el acceso a los datos](https://help.tableau.com/current/api/embedding_api/es-es/docs/embedding_api_user_attributes.html) en la API v3 de inserción de Tableau. - Incrustar métricas, consulte el tema [Incrustar métricas en páginas web](https://help.tableau.com/current/pro/desktop/es-es/embed_metrics.htm) en la ayuda de Tableau. (En octubre de 2023 \[Tableau 2023.3\], Tableau eliminó la capacidad de insertar métricas). **Nota:** Para que los usuarios se autentiquen correctamente cuando accedan a contenido incrustado, los navegadores deben estar configurados para permitir cookies de terceros. ##### Controle dónde se puede insertar el contenido utilizando la lista de admisión de dominios para insertar A partir de junio de 2023 (versión de Tableau 2023.2), usted y sus usuarios pueden controlar si el contenido de Tableau se puede insertar sin restricciones o restringirse a ciertos dominios mediante el método Actualizar configuración de inserción para el sitio en la API de REST de Tableau. De forma predeterminada, la configuración del sitio `unrestrictedEmbedding` para insertar está establecida en `true` para permitir la inserción sin restricciones. Alternativamente, usted y sus usuarios pueden establecer la configuración en `false` y especificar los dominios donde el contenido de Tableau en aplicaciones externas se puede insertar usando el parámetro `allowList`. Para obtener más información, consulte uno de los siguientes artículos: - [Actualizar configuración de incrustación para el sitio](https://help.tableau.com/current/api/rest_api/en-us/REST/rest_api_ref_site.htm#update_embedding_settings_for_site) en la ayuda de la API de REST de Tableau - [Configuración del sitio de Tableau para insertar](https://help.tableau.com/current/api/embedding_api/en-us/docs/embedding_api_site.html#about-tableau-site-settings-for-embedding) en la ayuda de Tableau Embedding API v3. #### Para flujos de trabajo de autorización de API de REST Una vez configurado el JWT, debe agregar el JWT válido a la solicitud de inicio de sesión de la API de REST para obtener acceso autorizado. Para obtener más información, consulte [Alcances del acceso para aplicaciones conectadas](https://help.tableau.com/v0.0/online/es-es/connected_apps_scopes.htm). #### Para flujos de trabajo de la API de metadatos Una vez configurado el JWT, debe agregar el JWT válido a la solicitud de inicio de sesión de la API de REST. Para obtener más información, consulte [Alcances del acceso para aplicaciones conectadas](https://help.tableau.com/v0.0/online/es-es/connected_apps_scopes.htm). #### Para tokens externos para flujos de trabajo SCIM Una vez configurado el JWT, debe tener configurada la autenticación SAML y habilitar la capacidad SCIM. Para obtener más información, consulte [Configurar aplicaciones conectadas con confianza de OAuth 2.0](#scim). ### Problemas conocidos (solo para insertar flujos de trabajo) Hay un par de problemas conocidos al usar aplicaciones conectadas que se tratarán en una versión futura. - **Funciones de la barra de herramientas:** cuando el contenido incrustado tenga definido el parámetro de la barra de herramientas, no todas las funciones de la barra de herramientas funcionarán. Para solucionar este problema, le recomendamos que oculte el parámetro de la barra de herramientas como en el siguiente ejemplo. - **Fuentes de datos publicadas:** las fuentes de datos publicadas que se hayan configurado para Preguntar al usuario las credenciales de la base de datos no se mostrarán. Para solucionar este problema, si es posible, recomendamos a los propietarios de fuentes de datos que incorporen sus credenciales de base de datos. ### Solución de problemas Cuando el contenido insertado no se muestra en su aplicación externa o si falla la autorización de la API de REST de Tableau, puede usar las herramientas del desarrollador de un navegador para inspeccionar e identificar los códigos de error que podrían estar asociados con la función EAS habilitada en su sitio de Tableau Cloud. Consulte la tabla a continuación para revisar la descripción del código de error y la posible resolución.
Código de errorResumenDescripciónPosible resolución o explicación
5SYSTEM_USER_NOT_FOUNDNo se ha podido encontrar al usuario de TableauPara resolver este problema, verifique que el valor de la notificación 'sub' (sujeto) en JWT sea el nombre de usuario (dirección de correo electrónico) del usuario autenticado de Tableau Cloud. Este valor diferencia entre mayúsculas y minúsculas.
16LOGIN_FAILEDError al iniciar sesiónEste error suele deberse a uno de los siguientes problemas de notificaciones en JWT:
  • El 'exp' (tiempo de caducidad) excede el período de validez máximo predeterminado. Para resolver este problema, revise las notificaciones registradas necesarias para JWT con validez y asegúrese de que el valor correcto no exceda los 10 minutos.
  • El 'sub' (sujeto) llama a un usuario desconocido. Para resolver este problema, verifique que el valor 'sub' sea el nombre de usuario (dirección de correo electrónico) del usuario autenticado de Tableau Cloud.
67FEATURE_NOT_ENABLEDEl acceso bajo demanda no es compatibleEl acceso bajo demanda está disponible únicamente a través de sitios con licencia de Tableau Cloud.
142EXTERNAL_AUTHORIZATION_SERVER_NOT_FOUNDEAS not foundPara resolver este problema, verifique que se llame al emisor correcto.
143EXTERNAL_AUTHORIZATION_SERVER_LIMIT_EXCEEDEDEAS limit exceededEl sitio ha alcanzado el número máximo permitido (1) de servidores de autorización externos registrados (EAS).
144INVALID_ISSUER_URLInvalid issuer URLLa URL del emisor no es válida o falta el atributo 'iss' (Emisor) en el JWT.
149EAS_INVALID_JWKS_URIFalta la URI de JWKSLa URI de JWKS no existe en los metadatos del IdP o la URI de JWKS no está configurada en Tableau. Para resolver este problema, configure una URI de JWKS válida.
150EAS_RETRIEVE_JWK_SOURCE_FAILEDError al recuperar la fuente de clavesPara resolver este problema, verifique que ha configurado correctamente la URI de JWKS.
151EAS_RETRIEVE_METADATA_FAILEDError al recuperar metadatos de issuerUrlPara resolver este problema, verifique que ha configurado correctamente la URI de JWKS.
10081COULD_NOT_RETRIEVE_IDP_METADATAFalta el extremo de los metadatos de EASPara resolver este problema, verifique que EAS se haya configurado correctamente y que se llame al emisor correcto.
10082AUTHORIZATION_SERVER_ISSUER_NOT_SPECIFIEDFalta el emisorPara resolver este problema, verifique que se llame al emisor correcto.
10083BAD_JWTEl encabezado JWT contiene problemasFaltan las notificaciones de 'kid' (ID secreta) o 'clientId' (emisor) en el encabezado JWT. Para resolver este problema, asegúrese de incluir esta información.
10084JWT_PARSE_ERRORJWT contiene problemasPara resolver este problema, verifique lo siguiente:
  • El valor de 'aud' (audiencia) al que se hace referencia en JWT use el valor de "tableau". Este valor diferencia entre mayúsculas y minúsculas.
  • Los valores 'aud' (Audiencia) y 'sub' (Asunto) están incluidos en el JWT.
10085COULD_NOT_FETCH_JWT_KEYSJWT no ha podido encontrar las clavesNo se ha podido encontrar el secreto.

Para resolver este problema, verifique que se llame al emisor correcto.

10087BLOCKLISTED_JWS_ALGORITHM_USED_TO_SIGNProblema con el algoritmo de firma JWTPara resolver el problema, puede eliminar el algoritmo de firma.
10088RSA_KEY_SIZE_INVALIDProblema con los requisitos de firma JWTPara resolver este problema, verifique con EAS o IdP que el JWT se firme con un tamaño de clave RSA de 2048.
10091JTI_ALREADY_USEDSe requiere JWT únicoJWT ya se ha utilizado en el proceso de autenticación. Para resolver este problema, EAS o IdP debe generar un nuevo JWT.
10092NOT_IN_DOMAIN_ALLOW_LISTNo se especifica el dominio del contenido insertadoPara resolver este problema, asegúrese de que el ajuste unrestrictedEmbedding se establece en true o que el parámetro domainAllowlist incluye los dominios donde el contenido de Tableau está insertado mediante Actualizar configuración de inserción para el sitio en la API de REST de Tableau.
10094MISSING_REQUIRED_JTIMissing JWT IDPara resolver este problema, verifique que el valor 'jti' (JWT ID) esté incluido en el JWT.
10095EXTERNAL_AUTHZ_SERVER_DISABLEDEAS disabledLa aplicación conectada para el EAS registrado en el sitio está deshabilitada.
10096JWT_EXPIRATION_EXCEEDS_CONFIGURED_EXPIRATION_PERIOD  El 'exp' (tiempo de caducidad) excede el período de validez máximo predeterminado. Para resolver este problema, revise las notificaciones registradas necesarias para JWT con validez y asegúrese de que el valor correcto no exceda los 10 minutos.
10097SCOPES_MALFORMEDProblemas con la reclamación de ámbitosEste error puede ocurrir cuando la reclamación "scp" (Ámbito) no se encuentra en el JWT o no se ha pasado como un tipo de lista. Para resolver este problema, compruebe que "scp" se incluye en el JWT y se pasa como un tipo de lista. Para obtener ayuda con la resolución de problemas con un JWT, consulte Depurador en el sitio de auth0.
10098JWT_UNSIGNED_OR_ENCRYPTEDJWT no está firmado o está cifradoTableau no admite JWT sin firmar o cifrados.
10099SCOPES_MISSING_IN_JWTReclamación de ámbitos faltantesAl JWT le falta la reclamación requerida "scp" (Ámbito). Para resolver este problema, verifique que el valor 'scp' esté incluido en el JWT. Para obtener ayuda con la resolución de problemas con un JWT, consulte Depurador en el sitio de auth0.
10100JTI_PERSISTENCE_FAILEDError de ID de JWT inesperadoHubo un error inesperado con el "jti" (ID de JWT). Para resolver este problema, se debe generar un nuevo JWT con un nuevo valor 'jti'.
10101EPHEMERAL_USER_LOGIN_FAILED_SITE_NOT_UBP_ENABLEDEl acceso bajo demanda no es compatibleEl sitio no tiene el modelo basado en el uso del Análisis incorporado que se requiere para habilitar el acceso bajo demanda. Para obtener más información, consulte Comprender modelos de licencias.
10102EPHEMERAL_USER_NOT_SUPPORTEDEl acceso bajo demanda no se admite cuando el atributo iframe-auth está habilitadoEste error puede ocurrir cuando el atributo iframe-auth está habilitado. Para resolver este problema, verifique que se esté utilizando la versión 3.6 o posterior de la API de inserción de Tableau.
10103JWT_MAX_SIZE_EXCEEDEDJWT supera el tamaño máximoEste error puede ocurrir cuando el tamaño de JWT excede los 8000 bytes. Para resolver este problema, asegúrese de que solo se transmitan las reclamaciones necesarias a Tableau Cloud.
10113EPHEMERAL_USER_LOGIN_FAILED_SITE_NOT_ENTITLED_FOR_ODA_ACCESSEl acceso bajo demanda no es compatibleEste sitio no tiene licencia con el modelo basado en el uso de análisis integrado o los bloqueos de Viewer basados en capacidad no están habilitados con las ediciones Cloud+ o Tableau+, que son necesarios para el acceso bajo demanda. Para obtener más información, consulte Modelo de licencia basado en el uso o Modelo de licencia basado en la capacidad.