Auth0を連携してTableau Serverの認証をSSOにしてみる #tableau

Auth0でラクラク認証

「カスタマーストーリー」を支えるツール特集

#ビッグデータ

#Okta Customer Identity Cloud（Auth0）

#ビジネス・アナリティクス

#Tableau

たまちゃん

2019.04.02

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

はじめに

こんにちは。大阪オフィスのDI部メンバー、tamaです。

Tableau ServerはSAMLの設定をすることができます。

OneLoginを連携してTableau Serverの認証をSSOにしてみる #tableau ｜ DevelopersIO

SAML連携を利用することで、別のIdPプロバイダーを用意して、Tableau Serverの認証をそちらにお任せすることができます。また、他サービスの認証を既に何らかのサービスを使用してシングルサインオンにしている場合、Tableau Serverもそちらにまとめて、Tableau ServerもSSOでログインできるようにすることも可能です。

「SSOでログインが楽に！」というのもあるのですが、SAMLを設定するもう一つのメリットはセキュリティ面の強化です。というのも、Tableau Serverのローカル認証はパスワードポリシーを設定することができません。「何文字以上」「大文字必須」みたいな指定ができないんですね。また、定期的にパスワードを変更させるみたいな機能もありません。そういったものを別の認証サービスに肩代わりさせることでカバーする…という意味でもSAML設定は有効ですね。

というわけで今回は、最近パートナーにもなったAuth0を、Tableau Serverに連携させてみたいと思います。

クラスメソッド、次世代認証基盤サービスAuth0の取り扱いを開始〜認証基盤の導入をご検討中の方向けにAuth0導入セミナーを開催｜プレスリリース｜クラスメソッド

本エントリの環境

Tableau Server 2019.1

Auth0の概要及び初期設定

下記の冒頭部分をご覧ください。

Alteryx ServerでSAML認証を試す（Auth0編）｜ DevelopersIO

Auth0側の設定を行う

Auth0を準備できたら、Auth0の設定画面を開きます。

アプリケーションの作成

最初にTableau Serverと連携するためのアプリケーションを作成します。左サイドメニューから「Applications」を選択し、「+Create Application」ボタンを押下します。

アプリケーションの作成画面が表示されるので、任意の名前をつけます。アプリケーションのタイプは「Regular Web App」を選択します。

アプリケーションを作成したら、Addonsタブを選択し、「SAML2」というアドオンを選択します。

下記のような設定画面が開きます。さて、ここに何を入力するのでしょうか。

Tableau Server用に、SAML2アドオンを設定する

実は、Auth0のドキュメントに、Tableau Server用の設定が記載してあります。

Tableau Server SAML Configuration

上記ドキュメントには、Callback URLはhttp://{YOUR TABLEAU SERVER}/wg/saml/SSO/index.htmlを指定しろと書いてあります。

また、アドオン設定画面のSettingに下記を入力するよう書いてあります。

{
"audience": "{YOUR TABLEAU AUDIENCE}",
"recipient": "http://{YOUR TABLEAU SERVER}/wg/saml/SSO/index.html",
"mappings": {
"email": "username"
},
"createUpnClaim": false,
"passthroughClaimsWithNoMapping": false,
"mapUnknownClaimsAsIs": false,
"mapIdentities": false,
"signatureAlgorithm": "rsa-sha1",
"digestAlgorithm": "sha1",
"destination": "http://{YOUR TABLEAU SERVER}/wg/saml/SSO/index.html",
"lifetimeInSeconds": 3600,
"signResponse": false,
"nameIdentifierFormat": "urn:oasis:names:tc:SAML:2.0:attrname-format:basic",
"nameIdentifierProbes": [
"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"
]
}

ただし、いくつか書き換える必要がある部分があります。

{YOUR TABLEAU SERVER}

これはTableau Serverのドメインを入力すればOKです。

{YOUR TABLEAU AUDIENCE}

こっちは何を入力すればいいのでしょうか。Auth0のアドオン設定画面のSettingの下部分に解説がありました。

Default will be the Issuer on SAMLRequest.

Issuerはどこに書いとるんや…と思いますが、これはアドオン設定画面のUsageにあります。

これをそのままaudienceのところに貼り付けましょう。

mappingsについて

"mappings": {
"email": "username"
},

Auth0のドキュメントでは上記のようになっています。

これは、Auth0に登録されているユーザーのメールアドレスとTableau Serverのユーザー名をマッピングする、という設定になっています。この設定のままで使用すると、Tableau Serverのユーザー名を、Auth0に登録されているユーザーのメールアドレスにしないといけなくなります。

Tableau Serverを使ったことがある方ならわかると思いますが、Tableau Serverのユーザーはメールアドレス欄は別にあるので、ユーザー名は素直にユーザー名として使用すると思います。

今回は検証のため、デフォルト設定でいきたいと思います。ただ、例えば下記のようにすることで、Auth0に登録されているユーザーのNAME情報とTableau Serverのユーザー名をマッピングすることができます。