Single Sign-On bei Amazon Redshift von Tableau mit IAM Identity Center

Dieser Blogbeitrag wurde gemeinsam mit Sid Wray und Jake Koskela von Salesforce sowie Adiascar Cisneros von Tableau verfasst. Amazon Redshift ist ein schnelles, skalierbares Cloud-Data-Warehouse, das für die Bewältigung von Arbeitslasten jeder Größenordnung entwickelt wurde. Mit Amazon Redshift als Ihrem Data Warehouse können Sie komplexe Abfragen mithilfe einer ausgefeilten Abfrageoptimierung ausführen, um schnell Ergebnisse an Tableau zu liefern, das umfassende Funktionen und Konnektivitätsoptionen für Analysten bietet, um Erkenntnisse im gesamten Unternehmen effizient aufzubereiten, zu ermitteln und zu teilen. Für Kunden, die Amazon Redshift mithilfe von Single-Sign-On-Funktionen in Tableau integrieren möchten, haben wir die AWS IAM Identity Center-Integration eingeführt, um Authentifizierung und Autorisierung nahtlos zu implementieren.

Amazon Redshift is a fast, fully managed, petabyte-scale cloud data warehouse service that makes it simple and cost-effective to analyze all your data using standard SQL and advanced analytics capabilities. It’s designed to handle massive volumes of structured and semi-structured data, and it scales up or down quickly to meet your changing needs.

Amazon Redshift ist ein schneller, vollständig verwalteter Cloud-Data-Warehouse-Dienst im Petabyte-Bereich, der die einfache und kostengünstige Analyse aller Ihrer Daten mithilfe von Standard-SQL und erweiterten Analysefunktionen ermöglicht. Es ist für die Verarbeitung riesiger Mengen strukturierter und halbstrukturierter Daten konzipiert und lässt sich schnell vergrößern oder verkleinern, um Ihren sich ändernden Anforderungen gerecht zu werden.

With Amazon Redshift as your data warehouse, you can run complex queries using sophisticated query optimization to quickly deliver results to Tableau, which offers a comprehensive set of capabilities and connectivity options for analysts to efficiently prepare, discover, and share insights across the enterprise. For customers who want to integrate Amazon Redshift with Tableau using single sign-on capabilities, we introduced AWS IAM Identity Center integration to seamlessly implement authentication and authorization.

Mit Amazon Redshift als Ihrem Data Warehouse können Sie komplexe Abfragen mithilfe einer ausgefeilten Abfrageoptimierung ausführen, um schnell Ergebnisse an Tableau zu liefern, das umfassende Funktionen und Konnektivitätsoptionen für Analysten bietet, um Erkenntnisse im gesamten Unternehmen effizient aufzubereiten, zu ermitteln und zu teilen. Für Kunden, die Amazon Redshift mithilfe von Single-Sign-On-Funktionen in Tableau integrieren möchten, haben wir die AWS IAM Identity Center-Integration eingeführt, um Authentifizierung und Autorisierung nahtlos zu implementieren.

IAM Identity Center provides capabilities to centrally manage single sign-on access to AWS accounts and applications. Redshift now integrates with IAM Identity Center, and supports trusted identity propagation, making it possible to integrate with third-party identity providers (IdP) such as Microsoft Entra ID (Azure AD), Okta, Ping, and OneLogin. This integration positions Amazon Redshift as an IAM Identity Center-managed application, enabling you to use database role-based access control on your data warehouse for enhanced security. Role-based access control allows you to apply fine grained access control using row level, column level, and dynamic data masking in your data warehouse.

IAM Identity Center bietet Funktionen zur zentralen Verwaltung des Single-Sign-On-Zugriffs auf AWS-Konten und -Anwendungen. Redshift lässt sich jetzt in IAM Identity Center integrieren und unterstützt die Weitergabe vertrauenswürdiger Identitäten, wodurch die Integration mit externen Identitätsanbietern (IdP) wie Microsoft Entra ID (Azure AD), Okta, Ping und OneLogin möglich wird. Diese Integration positioniert Amazon Redshift als eine vom IAM Identity Center verwaltete Anwendung und ermöglicht Ihnen die Verwendung einer datenbankrollenbasierten Zugriffskontrolle in Ihrem Data Warehouse für mehr Sicherheit. Mit der rollenbasierten Zugriffskontrolle können Sie eine differenzierte Zugriffskontrolle mithilfe von Zeilen- und Spaltenebene sowie dynamischer Datenmaskierung in Ihrem Data Warehouse anwenden.

AWS and Tableau have collaborated to enable single sign-on support for accessing Amazon Redshift from Tableau. Tableau now supports single sign-on capabilities with Amazon Redshift connector to simplify the authentication and authorization. The Tableau Desktop 2024.1 and Tableau Server 2023.3.4 releases support trusted identity propagation with IAM Identity Center. This allows users to seamlessly access Amazon Redshift data within Tableau using their external IdP credentials without needing to specify AWS Identity and Access Management (IAM) roles in Tableau. This single sign-on integration is available for Tableau Desktop, Tableau Server, and Tableau Prep.

AWS und Tableau haben zusammengearbeitet, um Single-Sign-On-Unterstützung für den Zugriff auf Amazon Redshift von Tableau aus zu ermöglichen. Tableau unterstützt jetzt Single-Sign-On-Funktionen mit dem Amazon-Redshift-Connector, um die Authentifizierung und Autorisierung zu vereinfachen. Die Versionen Tableau Desktop 2024.1 und Tableau Server 2023.3.4 unterstützen die Weitergabe vertrauenswürdiger Identitäten mit IAM Identity Center. Dies ermöglicht Benutzern den nahtlosen Zugriff auf Amazon-Redshift-Daten in Tableau mit ihren externen IdP-Anmeldeinformationen, ohne dass sie AWS Identity and Access Management (IAM)-Rollen in Tableau angeben müssen. Diese Single-Sign-On-Integration ist für Tableau Desktop, Tableau Server und Tableau Prep verfügbar.

In this post, we outline a comprehensive guide for setting up single sign-on to Amazon Redshift using integration with IAM Identity Center and Okta as the IdP. By following this guide, you’ll learn how to enable seamless single sign-on authentication to Amazon Redshift data sources directly from within Tableau Desktop, streamlining your analytics workflows and enhancing security.

In diesem Beitrag stellen wir eine umfassende Anleitung zum Einrichten von Single Sign-On bei Amazon Redshift unter Verwendung der Integration mit IAM Identity Center und Okta als IdP vor. Wenn Sie diesem Leitfaden folgen, erfahren Sie, wie Sie eine nahtlose Single-Sign-On-Authentifizierung bei Amazon-Redshift-Datenquellen direkt in Tableau Desktop aktivieren und so Ihre Analyse-Workflows optimieren und die Sicherheit erhöhen.

Prerequisites

Voraussetzungen

Before you begin implementing the solution, make sure that you have the following in place:

Bevor Sie mit der Implementierung der Lösung beginnen, stellen Sie sicher, dass Folgendes vorhanden ist:

Walkthrough

Komplettlösung

In this walkthrough, you build the solution with following steps:

In dieser exemplarischen Vorgehensweise erstellen Sie die Lösung mit den folgenden Schritten:

Set up the Okta OIDC application

Richten Sie die Okta OIDC-Anwendung ein

To create an OIDC web app in Okta, follow the instructions in this video, or use the following steps to create the wep app in Okta admin console:

Um eine OIDC-Web-App in Okta zu erstellen, befolgen Sie die Anweisungen in diesem Video oder führen Sie die folgenden Schritte aus, um die WEP-App in der Okta-Verwaltungskonsole zu erstellen:

Note: The Tableau Desktop redirect URLs should always use localhost. The examples below also use localhost for the Tableau Server hostname for ease of testing in a test environment. For this setup, you should also access the server at localhost in the browser. If you decide to use localhost for early testing, you will also need to configure the gateway to accept localhost using this tsm command:

Hinweis: Die Weiterleitungs-URLs von Tableau Desktop sollten immer „localhost“ verwenden. In den folgenden Beispielen wird auch „localhost“ als Tableau Server-Hostname verwendet, um das Testen in einer Testumgebung zu vereinfachen. Für dieses Setup sollten Sie im Browser auch auf den Server unter localhost zugreifen. Wenn Sie sich entscheiden, localhost für frühe Tests zu verwenden, müssen Sie das Gateway auch so konfigurieren, dass es localhost akzeptiert, indem Sie diesen tsm-Befehl verwenden:

In a production environment, or Tableau Cloud, you should use the full hostname that your users will access Tableau on the web, along with https. If you already have an environment with https configured, you may skip the localhost configuration and use the full hostname from the start.

In einer Produktionsumgebung oder Tableau Cloud sollten Sie den vollständigen Hostnamen verwenden, über den Ihre Benutzer im Web auf Tableau zugreifen, sowie https. Wenn Sie bereits über eine Umgebung mit konfiguriertem https verfügen, können Sie die Localhost-Konfiguration überspringen und von Anfang an den vollständigen Hostnamen verwenden.

Set up the Okta authorization server

Richten Sie den Okta-Autorisierungsserver ein

Okta allows you to create multiple custom authorization servers that you can use to protect your own resource servers. Within each authorization server you can define your own OAuth 2.0 scopes, claims, and access policies. If you have an Okta Developer Edition account, you already have a custom authorization server created for you called default.

Mit Okta können Sie mehrere benutzerdefinierte Autorisierungsserver erstellen, die Sie zum Schutz Ihrer eigenen Ressourcenserver verwenden können. Innerhalb jedes Autorisierungsservers können Sie Ihre eigenen OAuth 2.0-Bereiche, Ansprüche und Zugriffsrichtlinien definieren. Wenn Sie über ein Okta Developer Edition-Konto verfügen, wurde bereits ein benutzerdefinierter Autorisierungsserver namens „Default“ für Sie erstellt.

For this blog post, we use the default custom authorization server. If your application has requirements such as requiring more scopes, customizing rules for when to grant scopes, or you need more authorization servers with different scopes and claims, then you can follow this guide.

Für diesen Blogbeitrag verwenden wir den standardmäßigen benutzerdefinierten Autorisierungsserver. Wenn für Ihre Anwendung Anforderungen gelten, z. B. mehr Bereiche erforderlich sind, Regeln für die Gewährung von Bereichen angepasst werden müssen oder Sie mehr Autorisierungsserver mit unterschiedlichen Bereichen und Ansprüchen benötigen, können Sie dieser Anleitung folgen.

Set up the Okta claims

Richten Sie die Okta-Ansprüche ein

Tokens contain claims that are statements about the subject (for example: name, role, or email address). For this example, we use the default custom claim sub. Follow this guide to create claims.

Token enthalten Ansprüche, die Aussagen zum Thema sind (z. B. Name, Rolle oder E-Mail-Adresse). Für dieses Beispiel verwenden wir das standardmäßige benutzerdefinierte Anspruchssub. Befolgen Sie diese Anleitung, um Ansprüche zu erstellen.

Setup the Okta access policies and rules

Richten Sie die Okta-Zugriffsrichtlinien und -regeln ein

Access policies are containers for rules. Each access policy applies to a particular OpenID Connect application. The rules that the policy contains define different access and refresh token lifetimes depending on the nature of the token request. In this example, you create a simple policy for all clients as shown in Figure 7 that follows. Follow this guide to create access policies and rules.

Zugriffsrichtlinien sind Container für Regeln. Jede Zugriffsrichtlinie gilt für eine bestimmte OpenID Connect-Anwendung. Die in der Richtlinie enthaltenen Regeln definieren je nach Art der Tokenanforderung unterschiedliche Zugriffs- und Aktualisierungstokenlebensdauern. In diesem Beispiel erstellen Sie eine einfache Richtlinie für alle Clients, wie in Abbildung 7 unten dargestellt. Befolgen Sie diese Anleitung, um Zugriffsrichtlinien und -regeln zu erstellen.

Rules for access policies define token lifetimes for a given combination of grant type, user, and scope. They’re evaluated in priority order and after a matching rule is found, no other rules are evaluated. If no matching rule is found, then the authorization request fails. This example uses the role depicted in Figure 8 that follows. Follow this

Regeln für Zugriffsrichtlinien definieren die Token-Lebensdauer für eine bestimmte Kombination aus Gewährungstyp, Benutzer und Bereich. Sie werden in der Reihenfolge ihrer Priorität ausgewertet. Nachdem eine passende Regel gefunden wurde, werden keine anderen Regeln ausgewertet. Wenn keine passende Regel gefunden wird, schlägt die Autorisierungsanforderung fehl. In diesem Beispiel wird die in Abbildung 8 dargestellte Rolle verwendet. Folge dies