Tableau Server Auf AWS Leitfaden Und Best Practices Für Die Bereitstellung

Installation von Tableau ausSie können Tableau Server auch von erladen und auf einer der empfohlenen Amazon EC2-Instanzen installieren.Wenn Sie Tableau Server in dieser Weise installieren, müssen Sie den richtigen Speicher fürdie Verwendung mit Amazon EC2 auswählen. Amazon Elastic Block Store (Amazon EBS)bietet persistente Speichervolumes auf Blockebene zur Verwendung mit EC2-Instanzenin der AWS-Cloud. Sie sollten ein separates Amazon EBS General Purpose (SSD)-Volumemit einer Volumegröße von mindestens 100 GB für die Installation von Tableau Serveranfügen. Diese Volumegröße unterstützt eine Ausgangsleistung von 300 IOPS mit derMöglichkeit der Steigerung auf 3000 IOPS. Weitere Informationen finden Sie unterI/O Credits and Burst Performance (E/A-Credits und Leistungsanstieg) in der AmazonEBS-Produktdokumentation.Für hohe Arbeitsauslastungen, bei denen das Speichersubsystem eine absolute Mindestzahlan IOPS für die Leistung bereitstellen muss, können Sie entweder ein größeres Amazon EBSGeneral Purpose (SSD)-Volume erstellen, um bis zu 10.000 IOPS mit einem Verhältnis von3 IOPS je GB zu erzielen, oder Sie können ein Amazon EBS Provisioned IOPS (SSD)-Volumemit den benötigten IOPS verwenden. In jedem Fall empfehlen wir die Verwendung von EBSoptimierten Instanzen, wenn Sie eine hohe Extraktions- und Verarbeitungsleistung benötigen.Im Abschnitt Leistungsanpassung in der Tableau Server-Dokumentation finden Sieumfassende Informationen darüber, wie Sie die Leistung verbessern können.Schutz von Tableau Server auf AWSAWS bietet Sicherheitsfunktionen, mit denen Tableau Server Ihre Umgebung schützenkann, wie zum Beispiel: Amazon Virtual Private Cloud (Amazon VPC) fügt durch die Erstellung von privatenSubnetzen eine zusätzliche Netzwerksicherheitsschicht zu Ihrer Umgebung hinzu. Sicherheitsgruppen sind wie integrierte Firewalls, die die ein- und ausgehendenVerbindungen zu Ihrem Netzwerk zulassen. AWS Identity and Access Management (IAM) ermöglicht die spezifische Kontrolleüber die Zugriffsebenen. AWS Direct Connect ermöglicht eine dedizierte Netzwerkverbindung von einemUnternehmensnetzwerk zu AWS unter Verwendung von dem Branchenstandardentsprechenden 802.1Q-VLANs.Die Anwendungssicherheit für Unternehmen enthält drei Hauptkomponenten: Netzwerk,Zugriff und Daten. In den folgenden Kapiteln wird erläutert, wie Sie diese Funktionen inAWS und Tableau Server implementieren können, um zu ermöglichen, dass ein einzelnerBericht oder ein Dashboard die Anforderungen eines breiten, vielfältigen internen undexternen Benutzerstamms in sicherer Weise erfüllen kann.7

NetzwerkDie Netzwerksicherheit für Tableau Server auf AWS basiert auf der Nutzung von AmazonVPC-Sicherheitsgruppen mit SSL für die geschützte interne und externe Kommunikation.Amazon VPCEine Amazon VPC ist ein eigenes, isoliertes Netzwerk innerhalb der Cloud. DerNetzwerkdatenverkehr innerhalb der einzelnen Amazon VPCs ist von allen anderenAmazon VPCs getrennt. Durch die Verwendung eines Amazon VPC können Sie eigeneNetzwerk-Subnetze erstellen und die Anwendungsschichten in Netzwerk-Subnetzeteilen. Dadurch gewinnen Sie mehr Kontrolle. Wir empfehlen Ihnen, Tableau Server ineinem separaten Subnetz innerhalb Ihrer Amazon VPC zu installieren und auszuführen,damit Sie das Netzwerk entsprechend für den Zugriff auf Tableau Server und andereDatensätze konfigurieren können. Abbildung 1 zeigt eine typische Installation vonTableau Server in einer Amazon VPC.Abbildung 1: Amazon VPC-NetzwerkeinrichtungSicherheitsgruppenAnhand von Sicherheitsgruppen können Sie definieren, welche Arten vonNetzwerkdatenverkehr auf Tableau Server zugreifen dürfen. Amazon EC2-Sicherheitsgruppenwirken wie eine Firewall, die den ein- und ausgehenden Netzwerkdatenverkehr von AmazonEC2-Instanzen regelt. Sie können Sicherheitsgruppen definieren und zuweisen, die fürIhre Amazon EC2-Instanzen geeignet sind. Standardmäßig werden EC2-Instanzen mitSicherheitsgruppen gestartet, die keinen eingehenden Datenverkehr zulassen. Sie könnendiese Einstellung jedoch so ändern, dass der geeignete eingehende Datenverkehr auf der EC2Instanz zugelassen wird.Für Verbindungen mit Tableau Server gelten die folgenden Mindestanforderungen: Verbindung über RDP (Port 3389) unter Verwendung eines Remote Desktop-Clientsfür den Zugriff auf und die Verwaltung von Instanzen und Diensten Standard-Webdatenverkehr über HTTP (Port 80) und HTTPS (Port 443), um aufTableau Server gehostete und veröffentlichte Inhalte anzuzeigen. Kommunikation zwischen Tableau Server-Komponenten (siehe im Abschnitt„Skalierung von Tableau Server auf AWS“ unten in diesem Whitepaper)8

Aufgrund dieser Anforderungen sollte die Sicherheitsgruppe für Ihre Tableau ServerBereitstellung nur drei Standardports für eingehenden Datenverkehr aktivieren:HTTP 80, HTTPS 443 und RDP 3389, um den Zugriff auf Ihre Instanz zu beschränken.Sie sollten außerdem den Remote-Zugriff (Port 3389) auf einige Hosts beschränken.Ferner sollten Sie den HTTP- und HTTPS-Datenverkehr zu Hosts innerhalb IhresUnternehmensnetzwerks oder zu einigen vertrauenswürdigen Clients beschränken.ClientzugriffStandardmäßig verwendet Tableau Server HTTP-Standardanforderungen und-antworten. Tableau Server kann mithilfe von Sicherheitszertifikaten für HTTPS (SSL)konfiguriert werden. Diese Zertifikate sind jeweils vom Kunden bereitzustellen. WennTableau Server für SSL konfiguriert ist, wird die gesamte Kommunikation zwischen denClients verschlüsselt und verwendet das HTTPS-Protokoll.Wenn Sie Tableau Server für SSL konfigurieren, handeln der Browser und die SSLBibliothek auf dem Server eine gemeinsame Verschlüsselungsebene aus. Tableau Serververwendet OpenSSL als serverseitige SSL-Bibliothek und ist so konfiguriert, dass diederzeit akzeptierten Standards genutzt werden. Jeder Webbrowser, der über SSL aufTableau Server zugreift, verwendet die von dem betreffenden Browser bereitgestellteSSL-Standardimplementierung.Interne KommunikationDie Kommunikation zwischen Tableau Server-Komponenten in einer verteiltenServerinstallation basiert auf zwei wichtigen Faktoren: Vertrauen undDatenübermittlung. Jeder Server in einem Tableau Server-Cluster verwendet einstringentes Vertrauensmodell, um sicherzustellen, dass er gültige Anforderungen vonanderen Servern im Cluster empfängt. Das Vertrauen wird durch eine Positivliste mit IPAdressen, Ports und Protokollen hergestellt. Ist eines dieser Elemente ungültig, so wirddie Anforderung ignoriert.Computer im Cluster, die einen Gateway-Prozess ausführen, akzeptieren Anforderungenvon Dritten (Clients), außer wenn die Anforderungen bei einem Lastausgleichsdiensteingehen. Server, die keinen Gateway-Prozess ausführen, akzeptieren Anforderungennur von anderen vertrauenswürdigen Mitgliedern im Cluster. Mit Ausnahme derLizenzvalidierung und des Repository-Zugriffs erfolgt die Übermittlung der gesamteninternen Kommunikation über HTTP.Weitere Informationen zur Konfiguration von Tableau Server mit SSL und zur Aktivierungvon Vertrauen finden Sie im Tableau Server-Administratorhandbuch.9

AccessDie Feststellung der Identität des Benutzers, die Verhinderung des unbefugten Zugriffsund die Personalisierung der Benutzererfahrung für die einzelnen Benutzer erfolgen überden Zugriffsschutz. Tableau Server unterstützt drei Authentifizierungstypen: Security Assertion Markup Language (SAML) – Tableau Server kann für dieVerwendung von SAML für Single Sign-On (SSO) konfiguriert werden. Bei diesemModell authentifiziert ein externer Identitätsanbieter (Identity Provider, IdP) dieAnmeldeinformationen des Benutzers und sendet dann eine Sicherheitsbestätigungan Tableau Server mit Angaben zur Identität des Benutzers. Kerberos – Ist Tableau Server für die Verwendung der Authentifizierung von WindowsActive Directory konfiguriert und ist Kerberos aktiviert, so können die Benutzer mithilfeihrer Windows-Identitäten auf Tableau Server zugreifen. Vertrauenswürdige Authentifizierung – Bei der vertrauenswürdigenAuthentifizierung richten Sie eine vertrauenswürdige Beziehung zwischen TableauServer und mindestens einem Webserver ein. Wenn Tableau Server Anforderungenvon einem vertrauenswürdigen Webserver mit einem einlösbaren Token oder Ticketempfängt, geht Tableau Server davon aus, dass der Webserver die Authentifizierungbereits in der erforderlichen Weise verarbeitet hat.Tableau Server bietet den Benutzern außerdem eine personalisierte Erfahrung. Hierzuwird ein Konto für jeden benannten Benutzer des Systems erstellt. Weitere Informationenfinden Sie im Kapital „Authentifizierung“ im Tableau Server-Administratorhandbuch.AWS Directory ServiceAWS Directory Service ist ein verwalteter Verzeichnisdienst, über den Sie Ihre AWSRessourcen mit einem bestehenden lokalen Verzeichnisdienst wie Microsoft ActiveDirectory (mit AD-Connector) verbinden oder ein neues, eigenständiges Verzeichnisin der AWS-Cloud (mit einfachem AD) einrichten können. Die Verbindung mit einemlokalen Verzeichnis ist einfach, und sobald diese Verbindung hergestellt ist, können alleBenutzer unter Angabe ihrer vorhandenen Anmeldeinformationen des Unternehmens aufAWS-Ressourcen und -Anwendungen zugreifen.Mit dem AWS Directory Service können Sie wahlweise die Active Directory-basierteAuthentifizierung anstelle der lokalen Authentifizierung verwenden. (Bei der lokalenAuthentifizierung werden mithilfe des integrierten Benutzerverwaltungssystems vonTableau Server Benutzer erstellt und Passwörter zugewiesen.) Für die Einrichtung derActive Directory-basierten Authentifizierung müssen Sie im Konfigurationsschritt nachder Installation von Tableau Server Active Directory auswählen. Später können Sie nichtmehr zwischen Active Directory und lokaler Authentifizierung wechseln.Das Active Directory-Authentifizierungsmodell verwendet Microsoft Security SupportProvider Interface (SSPI) für die automatische Anmeldung Ihrer Benutzer anhand ihresWindows- Benutzernamens und -Passworts. Dadurch ist die Anmeldung für die Benutzerähnlich wie bei Single Sign-On (SSO).Mit den AWS Directory Services können Sie Tableau Server auch im verteilten Modusmit Failover-Unterstützung und Hochverfügbarkeit ausführen. Für den verteilten Modusmüssen alle Computer in einem Cluster Mitglieder derselben Domäne sein. Das Konto„Als Benutzer ausführen“, das auf dem primären Tableau-Server angegeben wird, mussein Domänenkonto in derselben Domäne sein.10

DatenTableau Server nutzt nach Möglichkeit native Treiber (wenn keine nativen Treiberverfügbar sind, wird ein generischer ODBC-Adapter verwendet), um die Verbindung zuDatenbanken herzustellen, Ergebnismengen zu verarbeiten, Extrakte zu aktualisierenund für die gesamte übrige Kommunikation mit der Datenbank. Sie können denTreiber so konfigurieren, dass er über Nicht-Standardports kommuniziert oder dieTransportverschlüsselung verwendet, aber diese Art der Konfiguration ist für TableauServer transparent. Da sich die Kommunikation von Tableau Server zu den Datenbankenjedoch in der Regel hinter einer Firewall abspielt, verschlüsseln die meisten Kunden dieseKommunikation nicht.Verbindung mit Datenspeichern in AWSSie können AWS-Ressourcen in einer Amazon VPC starten, wie zum Beispiel AmazonRelational Database Service (Amazon RDS), Amazon Elastic MapReduce (Amazon EMR)oder Amazon Redshift. Indem Sie den Tableau Server in dieselbe Amazon VPC stellen wieIhre Datenspeicher, können Sie sicherstellen, dass Ihr Datenverkehr die Amazon VPCzu keiner Zeit verlässt.Sie können Subnetze mit Sicherheitsgruppen verwenden, um Ihre Ressourcen inverschiedenen Schichten zu starten, während diese zugleich in geschützter Weiseinnerhalb einer Amazon VPC kommunizieren können (siehe Abbildung 2).Abbildung 2: Amazon VPC-Netzwerkeinrichtung mit Datenspeichern11

Verbindung mit Datenspeichern außerhalb von AWSOptional können Sie Ihre Amazon VPC mit Ihrem eigenen Unternehmensrechenzentrumverbinden. Hierzu verwenden Sie eine IPsec-Hardware-VPN-Verbindung und machensomit aus der AWS-Cloud eine Erweiterung Ihres Rechenzentrums. Eine VPNVerbindung besteht aus einem virtuellen privaten Gateway, das an Ihre Amazon VPCangefügt wird, und einem Kunden-Gateway, das sich in Ihrem Rechenzentrum befindet.AWS Direct Connect ist ein Netzwerkdienst, der eine Alternative zur Nutzung der AWSClouddienste über das Internet bietet. Mit AWS Direct Connect können Sie eine dedizierteNetzwerkverbindung unter Verwendung von dem Branchenstandard entsprechenden802.1Q-VLANs herstellen. Über dieselbe Verbindung können Sie auf öffentlicheRessourcen (z. B. auf Objekte, die unter Nutzung von öffentlichen IP-Adressenbereichenim Amazon Simple Storage Service [Amazon S3] gespeichert wurden) und auf privateRessourcen zugreifen (z. B. Amazon EC2-Instanzen, die innerhalb einer Amazon VPCunter Nutzung eines privaten IP-Bereichs ausgeführt werden). Zugleich können Siejedoch die Netzwerke zwischen öffentlicher und privater Umgebung getrennt halten.Skalierung von Tableau Server auf AWSTableau Server wurde so entwickelt, dass durch zusätzliche CPU-Kerne und Arbeitsspeichereine vertikale Skalierung bzw. durch das Hinzufügen von Servern eine horizontaleSkalierung ermöglicht wird. Diese Architektur gestattet eine maximale Ausnutzungder Rechenressourcen bei gleichzeitiger massiver Skalierbarkeit.Bei der Einzelserver-Bereitstellung auf AWS werden alle Tableau Server-Prozesse auf einereinzelnen Instanz ausgeführt (siehe Abbildung 3). Dies ist die einfachste Konfiguration fürTableau Server.Abbildung 3: Tableau Server-Komponenten auf einer Amazon EC2-Einzelinstanz12

Um Redundanz zu gewährleisten, müssen Sie weitere Server hinzufügen, sowie TableauArbeitsserver (die Kopien des Repository hosten), Daten-Engines und weitere Prozesse.Bei diesem Modell sollte der primäre Server in seinem eigenen Knoten isoliert sein.Idealerweise sollten auf diesem Server möglichst wenige Serverprozesse ausgeführt werden.Sie können eine 8-Kern-Lizenz zwar auf zwei 4-Kern-Rechner aufteilen, aberwir empfehlen Ihnen, die Skalierung ausschließlich mit 8-Kern-Rechnernvorzunehmen.Im nächsten Kapitel finden Sie eine Anleitung für Failover-Unterstützung undHochverfügbarkeit für diese einfache Konfiguration.FailoverUm einen Cluster zu konfigurieren, der Failover-Unterstützung für die Daten-Engineund Repository-Prozesse bietet, brauchen Sie mindestens zwei Instanzen: eine für denprimären Tableau Server und eine für einen Tableau-Arbeitsserver. Die empfohleneFailover-Konfiguration erfordert drei Instanzen: eine für den primären Tableau-Serverund zwei für die Tableau-Arbeitsserver.Abbildung 4: Tableau Server im Failover-ModusBei idealer Konfiguration sollte die Statusseite einer verteilten Tableau Server-Umgebungin etwa aussehen wie in Abbildung 5.Abbildung 5: Statusseite von Tableau Server im Failover-Modus13

In dieser Bereitstellung wurden die Daten-Engine und die Repository-Prozesse vomprimären Server auf einen Arbeitsserver verschoben, und der primäre Server führt nurden Gateway-Prozess, Suchen und Durchsuchen sowie den Cluster-Controller aus.Ferner befindet sich nur die Repository-Komponente im passiven Zustand und wirdmithilfe der Replikation auf dem neuesten Stand gehalten. Alle übrigen Komponentensind aktiv-aktiv. Bei einem Failover wird das passive Repository aktiv und IhreBereitstellung funktioniert weiter.LastausgleichAuf AWS verteilt Elastic Load Balancing (flexibler Lastausgleich) den eingehendenAnwendungsdatenverkehr automatisch auf mehrere Amazon EC2-Instanzen in der Cloud. Daserlaubt eine höhere Fehlertoleranz in Ihren Anwendungen. Außerdem wird das erforderlicheMaß an Lastausgleichskapazität für die Verteilung des Anwendungsdatenverkehrs reibungslosbereitgestellt.Mit Elastic Load Balancing können Sie Anforderungen auf mehrere Gateways in einemTableau Server-Cluster verteilen. An diesem Punkt haben alle drei Knoten Gateways (sieheAbbildung 6). Diese dienen der Durchleitung von Anforderungen an die verfügbarenServerprozesse. Im Gegensatz zum Repository-Prozess gibt es keine passiven oder StandbyGatewayprozesse. Alle Gateways sind aktiv. Wenn Sie einen Lastausgleichsdienst zu einemTableau Server-Cluster hinzufügen, gehört die URL, auf die Tableau Server zugreift,zum Lastausgleichsdienst, nicht zum primären Tableau-Server.Abbildung 6: Tableau Server mit Elastic Load Balancing14

HochverfügbarkeitNachdem Sie nun Redundanz für die Daten-Engine, das Repository und das Gatewaydurch die Hinzufügen von mehreren Arbeitsservern bereitgestellt haben, können Siezusätzliche Redundanz für den primären Tableau-Server erstellen. Hierzu können Sieein Backup des primären Tableau-Servers erstellen. Der primäre Backup-Rechner musszwar während der Installation lizenziert werden, aber er wird nicht als eine der dreiim Rahmen des Tableau-Endbenutzerlizenzvertrages (EULA) zulässigen Umgebungenangerechnet.Für die Konfiguration für Hochverfügbarkeit müssen Sie einen Failover-Cluster undeinen zusätzlichen Rechner als primären Backup-Rechner für Ihren primären Tableau-Serverausführen. Bei der Konfiguration für Hochverfügbarkeit führen der primäre Tableau-Serverund der primäre Backup-Rechner möglicherweise nur wenige oder gar keine TableauServer-Prozesse aus.Tableau Server sucht alle 8 Stunden nach Lizenzen. Schlägt der primäre Rechner fehl,so haben Sie bis zu 8 Stunden Zeit (je nachdem, wann die letzte Lizenzüberprüfungausgeführt wurde), um den primären Backup-Rechner online zu bringen. Beispiel:Wenn die Lizenzüberprüfung vor 7 Stunden und 50 Minuten durchgeführt wurde, habenSie 10 Minute

der größten Datenplattformen der Welt: Tableau Online und Tableau Public. Dieses Whitepaper ist ein technischer Leitfaden für die Bereitstellung und Konfiguration von Tableau Server auf AWS. Zudem beschreibt es die wichtigsten Integrationen und Konfigurationen speziell für AWS-Produkte, die es Ihnen ermöglichen, Tableau Server