---
schema_version: "1"
id: 841ec1bbff79bae0b86394272bbc9bf0d6b8b936932bbaa7dd1b94567fb1038d
title: サーバー シークレットの管理
collection: tableau
version: next
locale: ja-jp
portal_url: https://docs.salesforce.com/tableau/next/ja-jp/server-linux/security_secret_storage.md
canonical_url: https://help.tableau.com/v0.0/server-linux/ja-jp/security_secret_storage.htm
source_site: help.tableau.com
content_type: documentation
content_hash: 8d06a89f3acebad30fbd67c3d8d0f19e03e85d4cc2a150e18161bbe2176e9fe4
description: Understand and manage how Tableau Server stores secrets.
---
[メイン コンテンツに進む](#main-content)

# サーバー シークレットの管理

Tableau Server は一般的に、内部通信の保護、他のアプリケーションやオペレーティング システムとの通信、またはクライアントとの安全な通信の提供など、さまざまな機能の実行に使用する多数のシークレットを保存する必要があります。このコンテキストでは、_シークレット_という用語は、1 つのエンティティを別のエンティティに対して認証するために使用される、パスワード、トークン、またはその他の文字列を表します。

Tableau Server で実行する必要があるシークレットには 2 つのカテゴリーがあります。それらは、シークレットの生成方法によって異なります。

- **管理者によって生成されるシークレット**。これらには、認証資格情報や、Tableau Server で使用される実行ユーザー アカウントや SMTP 認証資格情報用の関連付けられたシークレットが含まれます。
- **システムのさまざまなプロセスによって自動生成されるシークレット**。たとえば、クラスター コントローラーと ZooKeeper プロセスの間の通信を保護するためには、シークレットが必要です。Postgres と通信する各サービスやプログラミング ユーザーで、異なるパスワードが多数必要となります。

ほとんどのシークレットは保存中に暗号化されています。シークレットが必要な場合は、実行時に復号化されます。

このトピックでは、シークレット ストレージの仕組みと、Tableau Server でシークレットのストレージを正しく管理するため、何をする必要があるかについて説明します。

## シークレット ストレージの仕組みについて理解する

インストール時、Tableau Server は Java キーストアでマスター キーを生成して保存します。マスター キーは、システム全体で使用される構成暗号化キーの暗号化に使用されます。

新しいシークレットが作成または更新されると、シークレットは構成暗号化キーを使用して暗号化されます。次に、暗号化された値はサーバー上の YAML ファイル内にある対応する構成パラメーターを使用して保存されます。暗号化された値を保持するパラメーターは `ENC(<encrypted string>)` 形式を使用します。ここで、`<encrypted string>` には、Base64 エンコードの暗号化された文字列を使用します。

実行時、指定されたシークレットへのアクセスが必要になると、暗号化された値はメモリに読み取られ、構成暗号化キーを使用して複合されます。

構成変更中にシークレットが入力されるようにする変更を保留中の場合は、トランザクション全体が暗号化されます。このシナリオでは、シークレットを入力してから保留中の変更を保存し、シークレットが暗号化された SSL を介して調整サービスに送信されます。調整サービスはシークレットを暗号化し、保留中の変更が適用されるまで保存します。変更が適用されると、暗号化されたままの状態のシークレットが現在の構成バージョンに昇格します。

Tableau Server は、GCM モードで 256 ビット AES を使用してシークレットを暗号化します。セキュア ストレージに使用されるキーは、リポジトリに保存される前に埋め込みデータベース認証資格情報の暗号化に使用されるアセット キーとは異なります。

### マスター キーへのアクセス権を持っているのは誰か

既定のインストールでは、Tableau Server の Java キーストアは、`/var/opt/tableau/tableau_server/data/tabsvc/config` 内のノード上の各サービスの `/tabsvc/keystores` フォルダーに複製されます。

例は次のとおりです。

`/var/opt/tableau/tableau_server/data/tabsvc/config/tabadminagent_<version_number>/tabsvc/keystores/tableauserver.jks`。

カスタム インストール ディレクトリを使用する場合、キーストア ファイルは次の場所にあります。

`<install directory>/tableau_server/data/tabsvc/config/<service name_#.version_number>/tabsvc/keystores`

既定では、次のユーザーおよびグループにこのディレクトリへのアクセス権があります。

- root
- tableau (ユーザー)
- 'tableau' グループのメンバー

### 構成情報のインポートおよびエクスポート

Tableau Services Manager には、[tsm settings export](https://help.tableau.com/v0.0/server-linux/ja-jp/cli_settings_tsm.htm#TSMExport) を使用して構成情報をインポートおよびエクスポートする機能が導入されています。

**注**:このバージョンの Tableau Server では、バックアップからの構成情報の復元はサポートされていません。代わりに、構成のエクスポートおよびインポート コマンドを使用して構成情報をバックアップおよび復元することをお勧めします。

構成シークレットはディスクに内部保存されるときに暗号化されますが、構成がファイルにエクスポートされるときには、シークレットがプレーン テキスト形式でファイルに書き込まれます。管理者はこのファイルを保護する責任があります。次のようなさまざまなオプションがあります。

- 暗号化されたファイル システムにファイルを書き込む。
- ファイル システム パーミッションによって特定のユーザーまたはグループのみに限定されるディレクトリにファイルを書き込む。
- 出力ファイルを暗号化する。

### インポートおよびエクスポート操作におけるシークレットの保護

このセクションでは、バックアップ出力を PGP で暗号化する方法について説明します。この方法により、名前付きパイプを作成してファイル引数として指定し、それを gpg 暗号化の入力として使用します。ディスクにシークレットがプレーン テキストで書き込まれることがないという利点があります。gpg と秘密キーが利用できなければなりません。次のセクションに、この方法の例を示します。

このセクションでは、シークレットを別のコンピューターに保管するための処理方法の例について説明します。

詳細については、次の外部参照資料を参照してください。

- [File encryption on the command line (コマンド ラインでのファイルの暗号化)](http://backreference.org/2014/08/15/file-encryption-on-the-command-line/)
- [mkfifo(1) - Linux man page (mkfifo(1) - Linux man ページ)](https://linux.die.net/man/1/mkfifo)

例:暗号化とエクスポート

構成をエクスポートするときのファイルの保護方法について例を示します。

`mkfifo -m 600 /tmp/secure1 && (gpg --symmetric --batch --yes --passphrase-file ~/.secrets/pgppassphrase.txt --cipher-algo AES256 --output encrypted.enc < /tmp/secure1 &) && tsm settings export -f /tmp/secure1 && rm /tmp/secure1`

この操作の詳細は、次のとおりです。

- 現在のユーザーのファイル読み取り/書き込みパーミッションによってアクセス権が制限される名前付きパイプを作成します。
    
    `mkfifo -m 600 /tmp/secure1`
- 別のプロセスを実行しながら、gpg を呼び出して名前付きパイプに送信されたデータを暗号化します。gpg ではデータを待機しながらブロックします。これにより、暗号化されたデータを含むファイルが作成されます。
    
    `gpg --symmetric --batch --yes --passphrase-file ~/.secrets/pgppassphrase.txt --cipher-algo AES256 --output encrypted.enc < /tmp/secure1 &`
- 名前付きパイプをファイル引数に指定して tsm を呼び出し、構成をエクスポートします。
    
    `tsm settings export -f /tmp/secure1`
- 名前付きパイプを削除します。
    
    `rm /tmp/secure1`

暗号化されたデータは "encrypted.enc" ファイル内にあります。

**例:復号化とインポート**

構成の復号化およびインポート方法について例を示します。

`mkfifo -m 600 /tmp/secret2 && (gpg --decrypt --batch --yes --passphrase-file ~/.secrets/pgppassphrase.txt encrypted.enc > /tmp/secret2 &) && tsm settings import -f /tmp/secret2 && rm /tmp/secret2`

この操作の詳細は、次のとおりです。

- 現在のユーザーのファイル読み取り/書き込みパーミッションによってアクセス権が制限される名前付きパイプを作成します。
    
    `mkfifo -m 600 /tmp/secure2`
- 構成を復号化して名前付きパイプに送信します。別のプロセスのバックグラウンドで実行されます。読み込みを待機しながらブロックします。
    
    `gpg --decrypt --batch --yes --passphrase-file ~/.secrets/pgppassphrase.txt encrypted.enc > /tmp/secret2 &`
- 必要に応じてログインし、tsm configuration import コマンドを実行します。
    
    `tsm settings import -f /tmp/secret2`
- 名前付きパイプを削除します。
    
    `rm /tmp/secure1`

保留中の構成に、インポートされた構成が含まれています。

[tsm pending-changes apply](https://help.tableau.com/v0.0/server-linux/ja-jp/cli_pending-changes.htm#pending-changes-apply) を実行して変更をコミットします。保留中の変更にサーバーの再起動が必要な場合は、`pending-changes apply` コマンドの実行時に、再起動が行われることを知らせるメッセージが表示されます。このメッセージはサーバーが停止していても表示されますが、その場合には再起動は行われません。`--ignore-prompt` オプションを使用してメッセージが表示されないようにできますが、そのようにしても再起動に関する動作が変わることはありません。変更に再起動が必要ない場合は、メッセージなしで変更が適用されます。詳細については、[tsm pending-changes apply](https://help.tableau.com/v0.0/server-linux/ja-jp/cli_pending-changes.htm#pending-changes-apply)を参照してください。

### クラスター ノード

Tableau Server クラスタに新規ノードを追加するときは、まずノード構成ファイルを生成する必要があります ([tsm topology](https://help.tableau.com/v0.0/server-linux/ja-jp/cli_topology_tsm.htm#topology-get-bootstrap-file))。ノード構成ファイルには、構成シークレットの暗号化に使用されるマスター キーストア ファイルのコピーが含まれています。

**重要**: シークレットが含まれた構成ファイルをエクスポートする場合は、ノード構成ファイルを保護するためにさらなる対策を講じること強くお勧めします。

[新規ノードに Tableau Server をインストールして構成する](https://help.tableau.com/v0.0/server-linux/ja-jp/install_additional_nodes.htm)ときに、ノード構成ファイルを `initialize-tsm` コマンドに指定する必要があります。上記の説明と同様の方法を使用して以前に暗号化したファイルのコンテンツを復号化し、名前付きパイプ経由で `initialize-tsm` コマンドに送信します。

### シークレット ストレージ イベントのログ作成

シークレット ストレージに関する次のイベントが記録されます。

- 新しい暗号化キーの生成
- 暗号化キーが登録または変更されている
- 構成ファイルの新しい値の暗号化

ログ ファイルおよびそれらの保存場所の詳細については、[ログ ファイルの操作](https://help.tableau.com/v0.0/server-linux/ja-jp/logs_working_with.htm)を参照してください。

## シークレットの管理

Tableau Server 管理者にとって、シークレット ストレージに関する最も重要なタスクは、シークレットを定期的に更新することです。場合によっては (サーバーのトラブルシューティングや監査など) パスワードの取得が必要となることもあります。

バージョンのアップグレード、バックアップや復元、またはクラスターへの新規ノードの追加 (上記) などの他の操作の場合、Tableau Server はシークレット ストレージや関連プロセスを自動的に管理します。

### シークレットの更新

会社のセキュリティ ポリシーに従って、シークレットを定期的に更新する必要があります。

マスター キーと自動生成されたシークレットを更新するには、[tsm security regenerate-internal-tokens](https://help.tableau.com/v0.0/server-linux/ja-jp/cli_security_tsm.htm#regenerate-tokens) を実行します。

### パスワードの取得

トラブルシューティングやその他の操作でパスワードの取得が必要となる場合があります。たとえば、Tableau Server によって生成および暗号化された Postgres readonly ユーザー認証資格情報が必要となる場合があります。この場合、パスワードを取得して復号化する tsm コマンドを実行します。

パスワードを取得するには、コマンド プロンプトを開き、以下の表に記載されているいずれかのパラメーターに `tsm configuration get` コマンドを発行します。

たとえば、readonly Postgres ユーザーのパスワードを取得するには、次のコマンドを入力します。

`tsm configuration get -k pgsql.readonly_password`

コマンドは、パスワードをクリア テキストで返します。

`$ tsm configuration get -k pgsql.readonly_password`

`password`

<table style="width: 100%;" class="simple-table">
                    <colgroup><col style="width: 50%;">
                    <col style="width: 50%;">
                    </colgroup><tbody>
                        <tr>
                            <th>Configuration Parameter</th>
                            <th>Description</th>
                        </tr>
                        <tr>
                            <td>clustercontroller.zookeeper.password</td>
                            <td>Password for cluster controller to connect to zookeeper.</td>
                        </tr>
                        <tr>
                            <td>indexandsearchserver.client.password             
						

					</td>
                            <td>Password for logging into Index and Search Server. 

					</td>
                        </tr>
                        <tr>
                            <td>indexandsearchserver.ssl.admin.cert.bytes             
					</td>
                            <td>Admin certificate that is used for administrative access to the Index and Search Server. The admin certificate is used to generate the node certificate. 

					</td>
                        </tr>
                        <tr>
                            <td>indexandsearchserver.ssl.admin.key.file_bytes 
					</td>
                            <td>Certificate key for administrative access to the Index and Search Server. 

					</td>
                        </tr>
                        <tr>
                            <td>indexandsearchserver.ssl.node.cert.bytes </td>
                            <td>Certificate that is used for Index and Search Server node-to-node communication.

					</td>
                        </tr>
                        <tr>
                            <td>            
						indexandsearchserver.ssl.node.key.file_bytes             
					</td>
                            <td>Certificate key that is used for Index and Search Server node-to-node communication.</td>
                        </tr>
                        <tr>
                            <td>indexandsearchserver.ssl.root.cert.bytes             
					</td>
                            <td>Certificate that is used to sign the admin and node certificates . This certificate is used by TSM&nbsp;for health check and by NLP&nbsp;to connect to Index and Search Server. 

					</td>
                        </tr>
                        <tr>
                            <td>indexandsearchserver.ssl.root.key.file_bytes </td>
                            <td>Certificate key for root certificate.

					</td>
                        </tr>
                        <tr>
                            <td>filestore.zookeeper.password</td>
                            <td>Password for filestore to connect to zookeeper.</td>
                        </tr>
                        <tr>
                            <td>hyper.connection.init_password 

					</td>
                            <td>Password used to initialize the Hyper database for user <code>tableau_internal_user</code> and is then used for connecting to Hyper.

					</td>
                        </tr>
                        <tr>
                            <td>jdbc.password</td>
                            <td>Password for the rails Postgres user.</td>
                        </tr>
                        <tr>
                            <td>kms.persistent_store 

					</td>
                            <td>A collection of master encryption keys (MEKs) used by the Key Management System.

					</td>
                        </tr>
                        <tr>
                            <td>maestro.rserve.password             
						</td>
                            <td>Password for connecting to an external Rserve instance used by Tableau Prep Conductor for running flows that have nodes with R scripts. 

					</td>
                        </tr>
                        <tr>
                            <td>maestro.tabpy.password</td>
                            <td>Password for connecting to an external TabPy (Python server) instance used by Tableau Prep Conductor for running flows that have nodes with Python scripts. 

					</td>
                        </tr>
                        <tr>
                            <td>oauth.google.client_secret</td>
                            <td>Client secret of the Google Cloud Platform account. </td>
                        </tr>
                        <tr>
                            <td>oauth.quickbooks.consumer_secret</td>
                            <td>Consumer secret of the Intuit developer account. </td>
                        </tr>
                        <tr>
                            <td>oauth.salesforce.client_secret</td>
                            <td>Client secret of the Salesforce developer account. </td>
                        </tr>
                        <tr>
                            <td>pgsql.adminpassword</td>
                            <td>
                                <p>tblwgadmin Postgres ユーザーのパスワード。</p>
                                <p class="note"><b>注</b>: 構成パラメーターは Tableau の構成ファイル (tabsvc.yml、workgroup.yml) に暗号化されますが、このパスワードは、SAML で使用される他のファイルにプレーン テキストで保存されます。</p>
                            </td>
                        </tr>
                        <tr>
                            <td>pgsql.readonly_password</td>
                            <td>Password for the readonly Postgres user.</td>
                        </tr>
                        <tr>
                            <td>pgsql.remote_password</td>
                            <td>Password for the tableau Postgres user.</td>
                        </tr>
                        <tr>
                            <td>redis.password </td>
                            <td>
                                <p>Redis のパスワード</p>
                                <p class="note"><b>注</b>: 構成パラメーターは Tableau の構成ファイル (tabsvc.yml、workgroup.yml) に暗号化されますが、構成は Redis アプリケーションが使用する redis.conf ファイルにプレーン テキストで引き続き保存されます。Redis は暗号化/セキュア パスワードをサポートしていません。</p>
                            </td>
                        </tr>
                        <tr>
                            <td>servercrashupload.proxy_server_password</td>
                            <td>Password for custom proxy server used to upload crash reports.</td>
                        </tr>
                        <tr>
                            <td>service.runas.password</td>
                            <td>Password of the Run As users. Stored temporarily.</td>
                        </tr>
                        <tr>
                            <td>ssl.cert.file_bytes             
					</td>
                            <td>The content of one of the three SSL certificate files uploaded by the administrator. The certificate files are required to enable secure external connections to Tableau Server. </td>
                        </tr>
                        <tr>
                            <td>ssl.chain.file_bytes 
					</td>
                            <td>The chain file(s) for the certificates uploaded by the administrator for external SSL.</td>
                        </tr>
                        <tr>
                            <td>ssl.key.file_bytes</td>
                            <td>Key file(s) for the certificates uploaded by the administrator for external SSL.</td>
                        </tr>
                        <tr>
                            <td>ssl.key.passphrase</td>
                            <td>Optional passphrase used to protect the external SSL key.</td>
                        </tr>
                        <tr>
                            <td>svcmonitor.notification.smtp.password</td>
                            <td>SMTP Server password supplied by the administrator through TabConfig.exe.</td>
                        </tr>
                        <tr>
                            <td>tabadminservice.password</td>
                            <td>Password for the service that allows server admins to download log files through the web interface.</td>
                        </tr>
                        <tr>
                            <td>vizportal.openid.client_secret</td>
                            <td>This is the password ("provider client secret") used for  OpenID Connect SSO.</td>
                        </tr>
                        <tr>
                            <td>
                        vizqlserver.external_proxy_password
                    </td>
                            <td>Password used to authenticate to an external proxy.</td>
                        </tr>
                        <tr>
                            <td>wgserver.domain.password</td>
                            <td>Password used to bind to Active Directory. </td>
                        </tr>
                        <tr>
                            <td>wgserver.saml.key.passphrase</td>
                            <td>Passphrase used to access the PKCS#8 SAML key file.</td>
                        </tr>
                        <tr>
                            <td>zookeeper.tsm.password</td>
                            <td>Password that TSM&nbsp;uses to connect to Zookeeper coordination service</td>
                        </tr>
                    </tbody>
                </table>