| 声明 | 名称 | 描述或必需值 |
“kid” | 键 ID | 必需（在标题中）。来自身份提供程序的唯一密钥标识符。 |
“iss” | 颁发者 | 必需（在标题中或作为声明）。标识受信任的已连接应用及其签名密钥的唯一颁发者 URI。 |
“alg” | 算法 | 必需（在标题中）。JWT 签名算法。javadoc.io 文档的 Class JWSAlgorithm 页面中列出了支持算法名称。签名算法可以使用vizportal.oauth.external_authorization_server.blocklisted_jws_algorithms命令进行配置。 |
“sub” | 使用者 | 经过身份验证的 Tableau Server 用户的。 |
“aud” | 受众 | 值必须是：“ |
“exp” | 到期时间 | 有效的 JWT 不得过期。JWT 的过期时间 (UTC) 必须在配置的最长有效期内。可以使用vizportal.oauth.external_authorization_server.max_expiration_period_in_minutes命令配置最长有效期。 |
“jti” | JWT ID | JWT ID 声明为 JWT 提供唯一标识符，并且区分大小写。 |
“scp” | 范围 | 对于嵌入工作流，支持的值包括： “ 注意：
对于 REST API 授权工作流，请参见支持 JWT 授权的 REST API 方法。 对于使用 REST API 进行身份验证的元数据 API 工作流，唯一支持的范围是 对于使用 REST API 进行身份验证的 VizQL Data Service 工作流，唯一支持的范围是 |
https://tableau.com/groups | 动态组成员身份 | 仅适用于嵌入工作流。 值必须与 Tableau Server 中一个或多个组的名称匹配。有关详细信息，请参见使用断言的动态组成员身份。 |
| （用户属性） | （用户属性值） | 仅适用于嵌入工作流。 从 Tableau Server 2025.1 开始，您 可以在 JWT 中包含用户属性。然后，当在嵌入内容中使用用户属性函数时，Tableau 会检查经过身份验证的用户的上下文并确定哪些数据可以在运行时显示。 注意：
|
| 错误代码 | 摘要 | 描述 | 潜在的解决方案或解释 |
| 5 | SYSTEM_USER_NOT_FOUND | 找不到 Tableau 用户 | 若要解决此问题，请验证 JWT 中的“ sub”（使用者）声明值为经过身份验证的 Tableau Server 的“用户名”。此值区分大小写。 |
| 16 | LOGIN_FAILED | 登录失败 | 此错误通常是由 JWT 中的以下声明问题之一引起的：
|
| 67 | FEATURE_NOT_ENABLED | 不支持按需访问 | 仅可通过获得许可的 Tableau Cloud 站点进行按需访问。 |
| 10081 | COULD_NOT_RETRIEVE_IDP_METADATA | 缺少 EAS 元数据端点 | 若要解决此问题，请验证 EAS 是否配置正确并且调用了正确的颁发者。 |
| 10082 | AUTHORIZATION_SERVER_ISSUER_NOT_SPECIFIED | 缺少颁发者 | 若要解决此问题，请验证是否调用了正确的颁发者。若要更改颁发者 URL，您可以使用vizportal.oauth.external_authorization_server.issuer命令。 |
| 10083 | BAD_JWT | JWT 标头包含问题 | JWT 标头中缺少“kid”（密文 IDd）或“clientId”（颁发者）声明。若要解决此问题，请确保包含此信息。 |
| 10084 | JWT_PARSE_ERROR | JWT 包含问题 | 若要解决此问题，请验证以下各项：
|
| 10085 | COULD_NOT_FETCH_JWT_KEYS | JWT 找不到密钥 | 找不到密文。 若要解决此问题，请验证是否调用了正确的颁发者。若要更改颁发者 URL，您可以使用vizportal.oauth.external_authorization_server.issuer命令。 |
| 10087 | BLOCKLISTED_JWS_ALGORITHM_USED_TO_SIGN | JWT 签名算法存在问题 | 若要解决此问题，您可以移除签名算法。有关详细信息，请参见vizportal.oauth.external_authorization_server.blocklisted_jws_algorithms。 |
| 10088 | RSA_KEY_SIZE_INVALID | JWT 签名要求存在问题 | 若要解决此问题，请使用 EAS 或 IdP 验证 JWT 是否使用大小为 2048 的 RSA 密钥进行签名。 |
| 10091 | JTI_ALREADY_USED | 需要唯一的 JWT | JWT 已在身份验证过程中使用。若要解决此问题，EAS 或 IdP 必须生成新的 JWT。 |
| 10092 | NOT_IN_DOMAIN_ALLOW_LIST | 未指定嵌入内容的域 | 若要解决此问题，请确保 unrestrictedEmbedding 设置设为 true 或者 domainAllowlist 参数包括使用 Tableau REST API 中的更新站点嵌入设置方法嵌入 Tableau 内容的域。 |
| 10094 | MISSING_REQUIRED_JTI | 缺少 JWT ID | 若要解决此问题，请验证 JWT 中包含“jti”（JWT ID）。 |
| 10096 | JWT_EXPIRATION_EXCEEDS_CONFIGURED_EXPIRATION_PERIOD | “exp”（过期时间）超过了默认的最长有效期。若要解决此问题，请查看有效 JWT 所需的已注册声明并确保使用正确的值。若要更改最长有效期，可以使用vizportal.oauth.external_authorization_server.max_expiration_period_in_minutes命令。 | |
| 10097 | SCOPES_MALFORMED | 范围声明的问题 | 当“scp”（范围）声明在 JWT 中缺失或未作为列表类型传递时，可能会发生此错误。若要解决此问题，请验证“scp”包含在 JWT 中并作为列表类型传递。有关 JWT 的故障排除帮助，请参见 auth0 站点上的调试器。 |
| 10098 | JWT_UNSIGNED_OR_ENCRYPTED | JWT 未签名或已加密 | Tableau 不支持未签名或已加密的 JWT。 |
| 10099 | SCOPES_MISSING_IN_JWT | 缺少范围声明 | JWT 缺少所需的“scp”（范围）声明。若要解决此问题，请验证 JWT 中是否包含“scp”。有关 JWT 的故障排除帮助，请参见 auth0 站点上的调试器。 |
| 10100 | JTI_PERSISTENCE_FAILED | 意外的 JWT ID 错误 | 存在意外的“jti”（JWT ID）错误。若要解决此问题，必须生成带有新的“jti”的新 JWT。 |
| 10103 | JWT_MAX_SIZE_EXCEEDED | JWT 超出最大大小 | 当 JWT 大小超过 8000 字节时，可能会发生此错误。为了解决此问题，请确保仅将必要的声明传递给 Tableau Server。 |