Authentification unique à Amazon Redshift depuis Tableau à l'aide d'IAM Identity Center

Cet article de blog est co-écrit avec Sid Wray et Jake Koskela de Salesforce, et Adiascar Cisneros de Tableau. Amazon Redshift est un entrepôt de données cloud rapide et évolutif conçu pour répondre aux charges de travail à n'importe quelle échelle. Avec Amazon Redshift comme entrepôt de données, vous pouvez exécuter des requêtes complexes à l'aide d'une optimisation sophistiquée des requêtes pour fournir rapidement des résultats à Tableau, qui offre un ensemble complet de fonctionnalités et d'options de connectivité permettant aux analystes de préparer, découvrir et partager efficacement des informations dans toute l'entreprise. Pour les clients qui souhaitent intégrer Amazon Redshift à Tableau à l'aide de fonctionnalités d'authentification unique, nous avons introduit l'intégration d'AWS IAM Identity Center pour mettre en œuvre de manière transparente l'authentification et l'autorisation.

Amazon Redshift is a fast, fully managed, petabyte-scale cloud data warehouse service that makes it simple and cost-effective to analyze all your data using standard SQL and advanced analytics capabilities. It’s designed to handle massive volumes of structured and semi-structured data, and it scales up or down quickly to meet your changing needs.

Amazon Redshift est un service d'entrepôt de données cloud rapide, entièrement géré, à l'échelle du pétaoctet, qui permet d'analyser de manière simple et rentable toutes vos données à l'aide de SQL standard et de fonctionnalités d'analyse avancées. Il est conçu pour gérer des volumes massifs de données structurées et semi-structurées, et il évolue rapidement pour répondre à l'évolution de vos besoins.

With Amazon Redshift as your data warehouse, you can run complex queries using sophisticated query optimization to quickly deliver results to Tableau, which offers a comprehensive set of capabilities and connectivity options for analysts to efficiently prepare, discover, and share insights across the enterprise. For customers who want to integrate Amazon Redshift with Tableau using single sign-on capabilities, we introduced AWS IAM Identity Center integration to seamlessly implement authentication and authorization.

Avec Amazon Redshift comme entrepôt de données, vous pouvez exécuter des requêtes complexes à l'aide d'une optimisation sophistiquée des requêtes pour fournir rapidement des résultats à Tableau, qui offre un ensemble complet de fonctionnalités et d'options de connectivité permettant aux analystes de préparer, découvrir et partager efficacement des informations dans toute l'entreprise. Pour les clients qui souhaitent intégrer Amazon Redshift à Tableau à l'aide de fonctionnalités d'authentification unique, nous avons introduit l'intégration d'AWS IAM Identity Center pour mettre en œuvre de manière transparente l'authentification et l'autorisation.

IAM Identity Center provides capabilities to centrally manage single sign-on access to AWS accounts and applications. Redshift now integrates with IAM Identity Center, and supports trusted identity propagation, making it possible to integrate with third-party identity providers (IdP) such as Microsoft Entra ID (Azure AD), Okta, Ping, and OneLogin. This integration positions Amazon Redshift as an IAM Identity Center-managed application, enabling you to use database role-based access control on your data warehouse for enhanced security. Role-based access control allows you to apply fine grained access control using row level, column level, and dynamic data masking in your data warehouse.

IAM Identity Center offre des fonctionnalités permettant de gérer de manière centralisée l'accès par authentification unique aux comptes et applications AWS. Redshift s'intègre désormais à IAM Identity Center et prend en charge la propagation d'identité fiable, ce qui permet l'intégration avec des fournisseurs d'identité tiers (IdP) tels que Microsoft Entra ID (Azure AD), Okta, Ping et OneLogin. Cette intégration positionne Amazon Redshift en tant qu'application gérée par IAM Identity Center, vous permettant d'utiliser le contrôle d'accès basé sur les rôles de base de données sur votre entrepôt de données pour une sécurité renforcée. Le contrôle d'accès basé sur les rôles vous permet d'appliquer un contrôle d'accès précis à l'aide du masquage dynamique des données au niveau des lignes et des colonnes dans votre entrepôt de données.

AWS and Tableau have collaborated to enable single sign-on support for accessing Amazon Redshift from Tableau. Tableau now supports single sign-on capabilities with Amazon Redshift connector to simplify the authentication and authorization. The Tableau Desktop 2024.1 and Tableau Server 2023.3.4 releases support trusted identity propagation with IAM Identity Center. This allows users to seamlessly access Amazon Redshift data within Tableau using their external IdP credentials without needing to specify AWS Identity and Access Management (IAM) roles in Tableau. This single sign-on integration is available for Tableau Desktop, Tableau Server, and Tableau Prep.

AWS et Tableau ont collaboré pour permettre la prise en charge de l'authentification unique pour accéder à Amazon Redshift depuis Tableau. Tableau prend désormais en charge les fonctionnalités d'authentification unique avec le connecteur Amazon Redshift pour simplifier l'authentification et l'autorisation. Les versions Tableau Desktop 2024.1 et Tableau Server 2023.3.4 prennent en charge la propagation d'identité fiable avec IAM Identity Center. Cela permet aux utilisateurs d'accéder de manière transparente aux données Amazon Redshift dans Tableau à l'aide de leurs informations d'identification IdP externes sans avoir besoin de spécifier des rôles AWS Identity and Access Management (IAM) dans Tableau. Cette intégration d'authentification unique est disponible pour Tableau Desktop, Tableau Server et Tableau Prep.

In this post, we outline a comprehensive guide for setting up single sign-on to Amazon Redshift using integration with IAM Identity Center and Okta as the IdP. By following this guide, you’ll learn how to enable seamless single sign-on authentication to Amazon Redshift data sources directly from within Tableau Desktop, streamlining your analytics workflows and enhancing security.

Dans cet article, nous présentons un guide complet pour la configuration de l'authentification unique à Amazon Redshift en utilisant l'intégration avec IAM Identity Center et Okta comme IdP. En suivant ce guide, vous apprendrez comment activer une authentification unique transparente sur les sources de données Amazon Redshift directement depuis Tableau Desktop, rationalisant ainsi vos flux de travail d'analyse et améliorant la sécurité.

Prerequisites

Conditions préalables

Before you begin implementing the solution, make sure that you have the following in place:

Avant de commencer à mettre en œuvre la solution, assurez-vous que les éléments suivants sont en place :

Walkthrough

Procédure pas à pas

In this walkthrough, you build the solution with following steps:

Dans cette procédure pas à pas, vous allez créer la solution en suivant les étapes suivantes :

Set up the Okta OIDC application

Configurer l'application Okta OIDC

To create an OIDC web app in Okta, follow the instructions in this video, or use the following steps to create the wep app in Okta admin console:

Pour créer une application Web OIDC dans Okta, suivez les instructions de cette vidéo ou suivez les étapes suivantes pour créer l'application Web dans la console d'administration Okta :

Note: The Tableau Desktop redirect URLs should always use localhost. The examples below also use localhost for the Tableau Server hostname for ease of testing in a test environment. For this setup, you should also access the server at localhost in the browser. If you decide to use localhost for early testing, you will also need to configure the gateway to accept localhost using this tsm command:

Remarque : les URL de redirection de Tableau Desktop doivent toujours utiliser localhost. Les exemples ci-dessous utilisent également localhost pour le nom d'hôte de Tableau Server pour faciliter les tests dans un environnement de test. Pour cette configuration, vous devez également accéder au serveur sur localhost dans le navigateur. Si vous décidez d'utiliser localhost pour les premiers tests, vous devrez également configurer la passerelle pour accepter localhost à l'aide de cette commande tsm :

In a production environment, or Tableau Cloud, you should use the full hostname that your users will access Tableau on the web, along with https. If you already have an environment with https configured, you may skip the localhost configuration and use the full hostname from the start.

Dans un environnement de production ou Tableau Cloud, vous devez utiliser le nom d'hôte complet auquel vos utilisateurs accéderont à Tableau sur le Web, ainsi que https. Si vous disposez déjà d'un environnement avec https configuré, vous pouvez ignorer la configuration localhost et utiliser le nom d'hôte complet dès le début.

Set up the Okta authorization server

Configurer le serveur d'autorisation Okta

Okta allows you to create multiple custom authorization servers that you can use to protect your own resource servers. Within each authorization server you can define your own OAuth 2.0 scopes, claims, and access policies. If you have an Okta Developer Edition account, you already have a custom authorization server created for you called default.

Okta vous permet de créer plusieurs serveurs d'autorisation personnalisés que vous pouvez utiliser pour protéger vos propres serveurs de ressources. Au sein de chaque serveur d'autorisation, vous pouvez définir vos propres étendues, revendications et stratégies d'accès OAuth 2.0. Si vous disposez d'un compte Okta Developer Edition, vous disposez déjà d'un serveur d'autorisation personnalisé créé pour vous, appelé par défaut.

For this blog post, we use the default custom authorization server. If your application has requirements such as requiring more scopes, customizing rules for when to grant scopes, or you need more authorization servers with different scopes and claims, then you can follow this guide.

Pour cet article de blog, nous utilisons le serveur d'autorisation personnalisé par défaut. Si votre application a des exigences telles que l'exigence de plus d'étendues, la personnalisation des règles indiquant quand accorder des étendues, ou si vous avez besoin de plus de serveurs d'autorisation avec des étendues et des revendications différentes, vous pouvez suivre ce guide.

Set up the Okta claims

Configurer les revendications Okta

Tokens contain claims that are statements about the subject (for example: name, role, or email address). For this example, we use the default custom claim sub. Follow this guide to create claims.

Les jetons contiennent des revendications qui sont des déclarations sur le sujet (par exemple : nom, rôle ou adresse e-mail). Pour cet exemple, nous utilisons le sous-réclamation personnalisé par défaut. Suivez ce guide pour créer des revendications.

Setup the Okta access policies and rules

Configurer les politiques et règles d'accès Okta

Access policies are containers for rules. Each access policy applies to a particular OpenID Connect application. The rules that the policy contains define different access and refresh token lifetimes depending on the nature of the token request. In this example, you create a simple policy for all clients as shown in Figure 7 that follows. Follow this guide to create access policies and rules.

Les stratégies d'accès sont des conteneurs de règles. Chaque stratégie d'accès s'applique à une application OpenID Connect particulière. Les règles contenues dans la stratégie définissent différentes durées de vie des jetons d'accès et d'actualisation en fonction de la nature de la demande de jeton. Dans cet exemple, vous créez une stratégie simple pour tous les clients, comme illustré dans la figure 7 suivante. Suivez ce guide pour créer des politiques et des règles d'accès.

Rules for access policies define token lifetimes for a given combination of grant type, user, and scope. They’re evaluated in priority order and after a matching rule is found, no other rules are evaluated. If no matching rule is found, then the authorization request fails. This example uses the role depicted in Figure 8 that follows. Follow this

Les règles des stratégies d'accès définissent la durée de vie des jetons pour une combinaison donnée de type d'autorisation, d'utilisateur et d'étendue. Elles sont évaluées par ordre de priorité et une fois qu'une règle correspondante est trouvée, aucune autre règle n'est évaluée. Si aucune règle de correspondance n'est trouvée, la demande d'autorisation échoue. Cet exemple utilise le rôle décrit dans la figure 8 qui suit. Suivez ceci