--- schema_version: "1" id: 42bd1ff8fc84358dc3c4464aa3078d55a9d7e6fd851694295b8aa9a6da4c74f4 title: Azure Key Vault collection: tableau version: next locale: pt-br portal_url: https://docs.salesforce.com/tableau/next/pt-br/server/security_kms_azure.md canonical_url: https://help.tableau.com/v0.0/server/pt-br/security_kms_azure.htm source_site: help.tableau.com content_type: documentation content_hash: 975649cb6b9b6720233d814fb5451be7d8278555d620fc607441ad9d89c05d54 description: Configure Azure Key Vault for Tableau Server encrypted extracts. --- [Pular para o conteúdo principal](#main-content) # Azure Key Vault O Tableau Server tem três opções de Sistema de gerenciamento de chaves (KMS) que permitem ativar a criptografia em repouso. Duas delas exigem os recursos de Advanced Management, enquanto um local está disponível com todas as instalações do Tableau Server. **Importante:** a partir de 16 de setembro de 2024, o Advanced Management não estará mais disponível como uma opção complementar independente. Os recursos do Advanced Management só estarão disponíveis se você o adquiriu anteriormente ou se você comprar determinadas edições de licença: Tableau Enterprise, Tableau Cloud+ ou Tableau+ Bundle (disponível para Tableau Cloud) ou Tableau Enterprise ou Tableau Server+ (disponível para Tableau Server). A partir da versão 2019.3, o Tableau Server adicionou essas opções KMS:  - Um KMS local que está disponível com todas as instalações. Para obter detalhes, consulte [Sistema de gerenciamento de chaves do Tableau Server](https://help.tableau.com/v0.0/server/pt-br/security_kms.htm). - Um KMS baseado em AWS, que vem como parte do Advanced Management. Para obter detalhes, consulte [Sistema de gerenciamento de chaves da AWS](https://help.tableau.com/v0.0/server/pt-br/security_kms_aws.htm). A partir da versão 2021.1, o Tableau Server adicionou outra opção de KMS:  - Um KMS baseado em Azure, que vem como parte do Advanced Management. Isso está descrito abaixo. ## Azure Key Vault para criptografia em repouso O Azure Key Vault está disponível como parte do Advanced Management no Tableau Server, a partir da versão 2021.1.0. Para obter mais informações, consulte [Sobre o Tableau Advanced Management no Tableau Server](https://help.tableau.com/v0.0/server/pt-br/itm_intro.htm). Se a empresa estiver implantando a Criptografia de extração de dados em repouso, opcionalmente, é possível configurar o Tableau Server para usar o Azure Key Vault como o KMS para criptografia de extração. Para ativar o Azure Key Vault, você deve implantar o Tableau Server no Azure. No cenário do Azure, o Tableau Server usa o Azure Key Vault para criptografar a chave raiz principal (RMK) para todas as extrações criptografadas. No entanto, mesmo se configurado para o Azure Key Vault, o repositório de chaves Java nativo e o KMS local do Tableau Server ainda são usados para o armazenamento seguro de segredos no Tableau Server. O Azure Key Vault só é usado para criptografar a chave mestra raiz para extrações criptografadas. ![Um diagrama ilustra várias chaves para criptografia de dados.](/tableau/next/pt-br/server/pt-br/Img/security_kms_azure_hierarchy.png) A hierarquia de chaves do Tableau Server é configurada com o Azure Key Vault ## Configurar o Azure Key Vault para extrações criptografadas do Tableau Server Para usar o Azure Key Vault para criptografar a chave raiz na hierarquia do KMS do Tableau Server, configure o Tableau Server conforme descrito nesta seção. Antes de começar, verifique se os seguintes requisitos foram atendidos: - O Tableau Server deve ser implantado no Azure. - O Tableau Server deve ser configurado com uma licença do Advanced Management. Consulte [Sobre o Tableau Advanced Management no Tableau Server](https://help.tableau.com/v0.0/server/pt-br/itm_intro.htm). - Você deve ter controle administrativo sobre o Azure Key Vault onde a chave reside. ### Etapa 1: criar um cofre de chaves e uma chave para o Tableau Server no Azure Os seguintes procedimentos são realizados no serviço do Azure Key Vault. As referências são incluídas na documentação do Azure. 1. Crie o cofre de chaves que você usará para o Tableau Server. Consulte o tópico do Azure, [Criar um cofre de chaves](https://docs.microsoft.com/pt-br/azure-stack/user/azure-stack-key-vault-manage-portal?view=azs-2008#create-a-key-vault). 2. Crie uma chave no cofre. Veja o tópico do Azure, [Gerenciar chaves e segredos](https://docs.microsoft.com/pt-br/azure-stack/user/azure-stack-key-vault-manage-portal?view=azs-2008). A chave deve ser um tipo RSA assimétrico, mas pode ser de qualquer tamanho (o Tableau Server não se importa com o tamanho da chave). Recomendamos que você use o Princípio do menor privilégio para ter segurança máxima. O Tableau requer permissões para executar as operações de comandos GET, UNWRAP KEY e WRAP KEY, e recomendamos permitir acesso para apenas esses comandos para obter menos privilégio. Atribua a política de acesso à VM em que você está executando o Tableau Server. Em uma implantação de vários nós do Tableau Server, a política de acesso deve ser atribuída a todos os nós do cluster do servidor. ### Etapa 2: coletar parâmetros de configuração do Azure Você precisará do nome do cofre de chaves e do nome da chave do Azure. ### Etapa 3: configurar o Tableau Server para Azure Key Vault Execute o seguinte comando no Tableau Server. Este comando reiniciará o servidor: - ``` tsm security kms set-mode azure --vault-name "" --key-name "" ``` As opções `--vault-name` e `--key-name` de cópias de cadeias de caracteres diretas do seu Azure Key Vault. Por exemplo, se o Azure Key Vault for chamado `tabsrv-keyvault` e a chave for `tabsrv-sandbox-key01` então o comando será: `tsm security kms set-mode azure --vault-name "tabsrv-keyvault" --key-name "tabsrv-sandbox-key01"` ### Etapa 4: habilitar criptografia em repouso Consulte [Criptografia de extrações em repouso](security_ear.htm). ### Etapa 5: validar a instalação 1. Execute o seguinte comando: `[tsm security kms status](cli_security_tsm.htm#kms-status)` As seguintes informações podem ser retornadas: - Status: OK (indica que o cofre da chave está acessível pelo nó do controlador): - Modo: Azure Key Vault - Nome do cofre: - Nome da chave do Azure Key Vault: - Lista de UUIDs disponíveis para MEKs indicando qual chave está ativa - Informações de erro se os dados do KMS não forem acessíveis 2. Exibir registros após criptografar e descriptografar extrações: - Publicar extrações no site e criptografá-las. Consulte [Criptografia de extrações em repouso](security_ear.htm). - Acesse as extrações com o Tableau Desktop ou com a criação na Web em um navegador (isso descriptografa as extrações para uso). - Pesquise os arquivos de registro vizqlserver\_node para as cadeias de caracteres `AzureKeyVaultEnvelopeAccessor` e `AzureKeyVaultEnvelope`. O local padrão dos registros se encontra em `C:\ProgramData\Tableau\Tableau Server\data\tabsvc\logs` Para atualizações de publicação e extração relacionadas ao Azure Key Vault, pesquise os registros do processador em segundo plano. Para obter mais informações sobre os registros, consulte [Locais de arquivo de registro e registros do Tableau Server](logs_loc.htm). ## Solucionar problemas de configuração ### Configuração incorreta em vários nós Em uma configuração de vários nós para o Azure Key Vault, o comando `tsm security kms status` pode relatar status íntegro (OK), mesmo que outro nó no cluster esteja configurado incorretamente. A verificação de status KMS relata apenas sobre o nó em que o processo do Controlador de administração do Tableau Server está sendo executado. Ele não relata os outros nós do cluster. Por padrão, o processo do Controlador de administração do Tableau Server é executado no nó inicial do cluster. Portanto, se outro nó estiver configurado incorretamente, de modo que o Tableau Server não possa acessar o Azure Key Vault, esses nós podem relatar estados de erro para vários serviços, que não seriam iniciados. Se alguns serviços não iniciarem após definir o KMS como modo “azure”, execute o comando a seguir para reverter para o modo local: `tsm security kms set-mode local`. ## Atualizar a chave do Azure Você atualiza a chave do Azure no Azure. Não há um período de atualização de chaves necessário ou agendado. Você pode atualizar sua chave criando uma nova versão da chave no Azure. Como o cofre de chaves e o nome da chave não mudam, não é necessário atualizar a configuração KMS no Tableau Server para cenários normais de atualização do Azure Key Vault. ## Backup e restauração com Azure Key Vault Um backup do servidor pode ser obtido no modo Azure Key Vault sem configurações ou procedimentos adicionais. O backup contém cópias criptografadas da RMK e das MEKs. A descriptografia das chaves requer acesso e controle do Azure Key Vault. Para o cenário de restauração, o servidor que está sendo restaurado pode estar no modo Azure Key Vault ou KMS Local. O único requisito é que o servidor para o qual o backup está sendo restaurado tenha acesso ao Azure Key Vault que o próprio backup usou.