--- schema_version: "1" id: 4d147998c7df6633134826dbc2dae817be3eb98d4ab145fa8fcd3c3cf07edf3b title: Requisitos para usar o OpenID Connect collection: tableau version: next locale: pt-br portal_url: https://docs.salesforce.com/tableau/next/pt-br/server-linux/openid_auth_requirements.md canonical_url: https://help.tableau.com/v0.0/server-linux/pt-br/openid_auth_requirements.htm source_site: help.tableau.com content_type: documentation content_hash: 6e76f39522a48e77ce9ecb45ac45b6faa09f5e06edcbc474754f65d10469f683 description: Understand the requirements for using OpenID Connect with Tableau Server. --- [Pular para o conteúdo principal](#main-content) # Requisitos para usar o OpenID Connect Este tópico descreve os requisitos para usar o OpenID Connect com Tableau Server. **Observação:** Os comandos de configuração de autenticação do TSM se aplicam apenas à autenticação OIDC configurada no TSM durante a instalação do Tableau Server. Para fazer alterações de configuração de autenticação OIDC para grupos de identidade, você pode usar o endpoint [Atualizar configuração de autenticação](https://help.tableau.com/current/api/rest_api/pt-br/REST/TAG/index.html#operation/AuthnService_UpdateAuthConfiguration) usando Tableau REST OpenAPI. **Resumo dos requisitos** - Conta do IdP - Armazenamento de identidades local - Reivindicações de IdP – mapeamento de usuários - Contexto de autenticação ## Conta do IdP Você deve ter acesso a um provedor de identidade (IdP) que suporte o protocolo OpenID Connect (OIDC). Também deve ter uma conta com o IdP. O OpenID Connect é suportado por muitos provedores de identidade. O protocolo OIDC é um padrão aberto e flexível. Por isso, nem todas as implementações do padrão são idênticas. Enquanto você configura o Tableau Server para OIDC, trabalhe com seu IdP. A implementação do IdP do Google foi amplamente testada com o Tableau Server e é o modelo IdP para a configuração documentada nestes tópicos. ## Armazenamento de identidades local Para usar o OpenID Connect no Tableau Server, uma das seguintes opções deve ser verdadeira: - **Se configurar o OIDC no TSM durante a instalação do Tableau Server**, o Tableau Server deve ser configurado para usar um armazenamento de identidade local. O servidor deve ser configurado para que você crie explicitamente usuários no Tableau Server, em vez de importá-los de um diretório externo, como o Active Directory. Gerenciar usuários com um armazenamento de identidade externa não é suportado com OpenID. - **Se configurar o OIDC usando** [pools de identidade](https://help.tableau.com/v0.0/server-linux/pt-br/identity_pools.htm), OIDC pode ser configurado com 1) um armazenamento de identidade local ou 2) AD ou LDAP é o armazenamento de identidade configurado no TSM durante a instalação do Tableau Server. ## Reivindicações de IdP – mapeamento de usuários Para entrar com sucesso no Tableau Server, um determinado usuário deve ser provisionado no IdP do OpenID e mapeado para uma conta de usuário no Tableau Server. O OpenID usa um método que depende que as _reivindicações_ compartilhem os atributos da conta de usuário com outros aplicativos. As reivindicações incluem atributos de conta de usuário, como e-mail, número de telefone, nome etc. Para compreender como o Tableau Server mapeia as reivindicações de IdP nas contas de usuário, consulte [OpenID Connect](https://help.tableau.com/v0.0/server-linux/pt-br/openid_auth.htm#Authenti). O Tableau Server depende que a reivindicação de IdP mapeie as contas de usuário do IdP para as hospedadas no Tableau Server. Por padrão, o Tableau Server espera que o IdP passe a reivindicação de e-mail. Dependendo do IdP, talvez seja necessário configurar o Tableau Server para usar uma reivindicação de IdP diferente. Se estiver usando o Google como uma reivindicação de IdP, então use o padrão `email` para mapear as identidades do IdP para as contas de usuário do Tableau Server. Se não estiver usando o Google como um IdP, então trabalhe com o seu IdP para determinar a reivindicação na qual o Tableau Server deve ser configurado. ### Padrão: uso de reivindicação de e-mail para mapear usuários Por padrão, o nome de usuário no Tableau Server deve coincidir com a reivindicação de `email` no token de ID do IdP. Portanto, na configuração padrão, use endereços de e-mail (também conhecidos como UPN) como o nome de usuário no Tableau Server. Se usar oGoogle como IdP, o nome de usuário no Tableau Server deve ser o Gmailendereço (`alice@gmail.com`). O uso de um endereço de e-mail completo ajudará a garantir a exclusividade do nome de usuário no Tableau Server, mesmo se dois usuários tiverem o mesmo e-mail, mas em hosts de e-mail diferentes. **Observação**: quando você cria uma identidade de usuário no Tableau Server, deve especificar um nome de usuário, senha e, como opção, um endereço de e-mail. Para usar o OpenID Connect na configuração padrão, o nome de usuário (expressado como um endereço de e-mail) é o valor que deve corresponder ao nome de usuário no IdP. O endereço de e-mail opcional na identidade de usuário do Tableau Server não é usado para autenticação do OpenID. #### Como ignorar o nome de domínio Você pode configurar o Tableau para ignorar a parte de domínio de um endereço de e-mail, ao corresponder a reivindicação de IdP `email` à conta de usuário no Tableau Server. Neste cenário, a reivindicação `email` no IdP pode ser `alice@example.com`, mas isso vai corresponder a um usuário chamado `alice` no Tableau Server. Ignorar o nome de domínio pode ser útil se você já tiver usuários definidos no Tableau Server que correspondam à parte dos nomes de usuário da reivindicação `email`, mas não às partes de domínio. **Importante**: não recomendamos ignorar o nome de domínio do usuário sem tomar precauções. Especificamente, verifique se os nomes de usuário são exclusivos em todos os domínios configurados que você criou no seu IdP. Definir o Tableau Server para ignorar o nome de domínio pode resultar em logon não intencional do usuário. Considere o caso em que seu IdP tenha sido configurado para vários domínios (`example.com` e `tableau.com`). Se dois usuários com o mesmo nome, mas diferentes contas de usuário (`alice@tableau.com` e `alice@example.com`) estiverem na sua empresa, então o primeiro a concluir a sequência de provisionamento de OpenID será responsável pelo `sub` do IdP. Se o usuário errado for mapeado, então o outro usuário não poderá efetuar logon até que o `sub` associado seja redefinido. Para configurar o Tableau Server para ignorar os nomes de domínio nos nomes de usuário do IdP, defina `tsm authentication openid configure --ignore-domain` como `true`. Para obter mais informações, consulte [tsm authentication openid ](https://help.tableau.com/v0.0/server-linux/pt-br/cli_authentication_tsm.htm#TSMOIDC). Ao alterar a opção tsm authentication openid configure `--ignore-domain` para ignorar o domínio nos nomes de usuário, todos os nomes de usuário do Tableau Server devem ter um nome de domínio. ### Uso de reivindicações personalizadas para mapear usuários Conforme mencionado na [OpenID Connect](https://help.tableau.com/v0.0/server-linux/pt-br/openid_auth.htm#Authenti), a reivindicação `sub` é frequentemente incluída nas reivindicações de IdP. Normalmente, a reivindicação `sub` é uma cadeia de caracteres exclusiva que identifica uma determinada conta de usuário. A vantagem de usar uma reivindicação `sub` é que ela não será alterada, mesmo se você ou outro administrador atualizar outros atributos de usuário ou reivindicações de IdP (e-mail, número de telefone, etc.) associados a essa conta. Por padrão, o Tableau Server identifica e verifica usuários do OpenID de acordo com a reivindicação `sub` no token de ID do IdP. O valor da reivindicação `sub` do OpenID deve ser mapeado para o usuário correspondente no Tableau Server. Como a reivindicação `sub` é uma cadeia de caracteres arbitrária, uma reivindicação diferente é usada para associar as contas durante a primeira sessão de logon. A primeira vez que um usuário entrar no Tableau Server com o OpenID, o Tableau vai corresponder a conta de usuário do OpenID à uma conta de usuário correspondente no Tableau Server. Por padrão, o Tableau usará a reivindicação de IdP, `email`, para identificar o usuário do Tableau. O Tableau atualizará o registro deste usuário com a reivindicação `sub` do OpenID. Como o token de ID sempre inclui a reivindicação `sub` com outras reivindicações, nas sessões subsequentes, o Tableau identificará este usuário apenas com a reivindicação `sub`. Para algumas organizações, mapear nomes de usuário com o endereço de e-mail não é confiável ou não é suportado pelo IdP. A partir do Tableau Server 10.2, é possível mapear as contas de usuário de qualquer reivindicação de IdP arbitrária para o nome de usuário do Tableau Server. A reivindicação de IdP usada deve mapear exatamente para um nome de usuário do Tableau Server correspondente. No exemplo abaixo, o nome de usuário é `kwilliams`. ![Um formulário para adicionar um novo usuário no Tableau Server.](/tableau/next/pt-br/server-linux/pt-br/Img/users_add_srvruser.png) Para alterar a reivindicação do IdP usado para mapear a identidade no Tableau Server, use o comando `tsm authentication openid map-claims --user-name`. Para obter mais informações, consulte [tsm authentication openid ](https://help.tableau.com/v0.0/server-linux/pt-br/cli_authentication_tsm.htm#TSMOIDC). ### Alteração da reivindicação `sub` Como descrito acima, a reivindicação `sub` é o identificador que o Tableau Server usa para identificar usuários após a sessão de mapeamento inicial. A reivindicação `sub` é gravada na conta de usuário correspondente no Tableau Server. Se o IdP não fornecer uma reivindicação `sub`, é possível especificar uma reivindicação arbitrária para ser usada. Como `sub`, o valor da reivindicação especificado deve ser exclusivo e não deve ser alterado quando outras reivindicações do usuário forem atualizadas. Para especificar uma reivindicação de IdP diferente como padrão de reivindicação sub, use o comando `tsm authentication openid map-claims --id`. Para obter mais informações, consulte [tsm authentication openid ](https://help.tableau.com/v0.0/server-linux/pt-br/cli_authentication_tsm.htm#TSMOIDC). Onde `arbitraryClaim` é o nome da reivindicação de IdP que você deseja usar como o substituto para a reivindicação `sub`. ## Contexto de autenticação Se o IdP do OpenID Connect exigir um contexto específico de autenticação, você pode especificar uma lista de valores ACR essenciais e voluntários usando as teclas de configuração `vizportal.openid.essential_acr_values` e `vizportal.openid.voluntary_acr_values`. Para obter mais informações, consulte [Opções do tsm configuration set](https://help.tableau.com/v0.0/server-linux/pt-br/cli_configuration-set_tsm.htm).