Como Gerar um CSR no Tableau Server

Este tutorial mostra como gerar um CSR (Certificate Signing Request) e uma chave privada para o Tableau Server tanto no Windows como no Linux. O Tableau Server não possui um gerador de CSR integrado, por isso é necessário usar o binário OpenSSL incluído no pacote Apache empacotado. Gere a chave e o CSR no nó do Tableau Server, envie o CSR à sua Autoridade Certificadora e, depois de receber o certificado assinado, importe-o através do Tableau Services Manager.

O que vai precisar

• Acesso de Administrador (Windows) ou sudo (Linux) no nó do Tableau Server.
• A versão exata do pacote Apache incluída na sua versão do Tableau Server. Liste C:Program FilesTableauTableau Serverpackages no Windows ou /opt/tableau/tableau_server/packages/ no Linux para encontrar a pasta chamada apache.X.Y.Z. A parte X.Y.Z muda em cada versão do Tableau Server.
• O nome de domínio totalmente qualificado (FQDN) exato que o Tableau Server irá servir, por exemplo tableau.seudominio.com, além de quaisquer nomes de host adicionais que deseje incluir no mesmo certificado (para o campo SAN).
• Os dados legais da sua organização (país, estado, cidade, nome da organização) para o Nome Distinto (Distinguished Name) do CSR.

Nota sobre tamanho de chave em 2026. O Tableau Server 2025.3 e versões posteriores é executado com OpenSSL 3.4.x com segurança de Nível 2, que rejeita chaves RSA com menos de 2048 bits. Use 2048 bits RSA como mínimo; 3072 ou 4096 bits é uma atualização razoável para chaves que planeia manter durante vários anos. A própria documentação do Tableau usa RSA de 4096 bits no seu exemplo.

Gerar um CSR no Tableau Server para Windows

Se já gerou o seu CSR, avance para enviar o CSR à sua Autoridade Certificadora e depois para instalar o seu certificado SSL no Tableau Server.

Passo 1: Abra uma Linha de Comandos elevada

Pressione a tecla Windows, digite cmd, depois clique com o botão direito em Prompt de Comando e escolha Executar como administrador. São necessários privilégios elevados porque o OpenSSL incluído reside em C:Program Files.

Passo 2: Aceda ao diretório bin do Apache incluído

O Tableau inclui o seu próprio OpenSSL dentro do pacote Apache. Liste a pasta de pacotes para confirmar a versão exata instalada no seu servidor:

dir "C:Program FilesTableauTableau Serverpackages"

Verá uma pasta chamada apache.X.Y.Z (por exemplo apache.20243.24.1015.1532). Aceda ao seu diretório bin, substituindo o código de versão pelo seu:

cd "C:Program FilesTableauTableau Serverpackagesapache.20243.24.1015.1532bin"

Passo 3: Crie a chave privada

Gere uma chave privada RSA de 2048 bits. Substitua tableau pelo nome de ficheiro base que preferir; a chave e o CSR partilharão esse nome:

openssl.exe genrsa -out tableau.key 2048

Mantenha o ficheiro tableau.key seguro. Esta é a chave privada que se emparelha com o certificado que a CA irá emitir, e o Tableau Server não pode servir TLS sem ela. O exemplo da documentação do Tableau usa 4096 em vez de 2048; ambos são aceites pelas CAs públicas.

Passo 4: Gere o CSR com uma extensão SAN

Os navegadores e clientes TLS modernos validam os certificados através da extensão Subject Alternative Name (SAN), e não apenas pelo Nome Comum, por isso inclua a lista SAN no pedido. Substitua os nomes de host após DNS: pelos FQDNs que o Tableau Server deve responder:

openssl.exe req -new -key tableau.key -out tableau.csr -addext "subjectAltName=DNS:tableau.yourdomain.com,DNS:viz.yourdomain.com"

Se o OpenSSL se queixar de que não consegue carregar o ficheiro de configuração (um aviso sobre /usr/local/ssl/openssl.cnf no Windows pode ser ignorado com segurança, mas um erro grave interrompe o comando), aponte-o explicitamente para a configuração do OpenSSL incluída com o Tableau, adicionando -config ..confopenssl.cnf:

openssl.exe req -new -key tableau.key -out tableau.csr -config ..confopenssl.cnf -addext "subjectAltName=DNS:tableau.yourdomain.com,DNS:viz.yourdomain.com"

Passo 5: Preencha os dados da sua organização

O OpenSSL solicita os campos que compõem o Nome Distinto do CSR. Use valores exatos e legais: as Autoridades Certificadoras públicas rejeitam discrepâncias em relação aos registos empresariais.

• Country Name (2 letter code): o código ISO de duas letras do seu país, por exemplo US, GB, DE.
• State or Province Name: o nome completo do estado ou província onde a sua organização está registada, por exemplo California. Não use uma abreviatura de duas letras.
• Locality Name: o nome completo da cidade, por exemplo San Francisco.
• Organization Name: o nome legal completo da sua empresa, por exemplo Your Company LLC. Para certificados validados por domínio (DV), este campo não é validado e pode ser omitido, mas não pressione apenas Enter: o OpenSSL insere então o valor padrão definido na sua configuração, e a configuração padrão vem com Internet Widgits Pty Ltd, o que acabaria no seu CSR. Digite um único ponto (.) para deixar o campo genuinamente vazio. O mesmo se aplica a País e Estado, cujos valores padrão são AU e Some-State.
• Organizational Unit Name: descontinuado e já não é emitido pelas CAs públicas. Pressione Enter para saltar.
• Common Name: o FQDN exato que os utilizadores irão digitar para acederem ao Tableau Server, por exemplo tableau.seudominio.com. Indique o mesmo valor que a sua primeira entrada SAN.
• Email Address: um email de contacto válido, ou pressione Enter para saltar.
• A challenge password e An optional company name: deixe ambos em branco. As CAs públicas ignoram estes campos.

Quando os pedidos terminarem, o OpenSSL grava o CSR em tableau.csr no diretório atual. Continue com verificar o CSR abaixo.

Gerar um CSR no Tableau Server para Linux

Passo 1: Encontre o diretório bin do Apache incluído

O Tableau Server no Linux inclui o seu próprio OpenSSL dentro de /opt/tableau/tableau_server/packages/apache.X.Y.Z/bin. Liste a pasta de pacotes para encontrar a versão exata instalada no seu servidor:

ls /opt/tableau/tableau_server/packages/ | grep apache

Verá um diretório chamado apache.X.Y.Z (por exemplo apache.20243.24.1015.1532). Use esse nome exato nos comandos abaixo. Não precisa de fazer cd para o diretório bin; os exemplos chamam o OpenSSL incluído pelo seu caminho absoluto, para que possa executá-los a partir do seu diretório pessoal.

Passo 2: Crie a chave privada

Gere uma chave privada RSA de 2048 bits, chamando o binário OpenSSL incluído pelo seu caminho absoluto. Substitua o código de versão pelo seu:

sudo /opt/tableau/tableau_server/packages/apache.20243.24.1015.1532/bin/openssl genrsa -out tableau.key 2048

Mantenha o ficheiro tableau.key seguro e legível apenas pelo utilizador que irá executar a importação. O exemplo da documentação do Tableau usa 4096 em vez de 2048; ambos são aceites pelas CAs públicas.

Passo 3: Gere o CSR com uma extensão SAN

Inclua a lista Subject Alternative Name diretamente na linha de comando. Substitua os nomes de host após DNS: pelos FQDNs que o Tableau Server deve responder:

sudo /opt/tableau/tableau_server/packages/apache.20243.24.1015.1532/bin/openssl req -new -key tableau.key -out tableau.csr -addext "subjectAltName=DNS:tableau.yourdomain.com,DNS:viz.yourdomain.com"

Se o OpenSSL se recusar a iniciar porque não consegue carregar a configuração padrão, aponte-o para a configuração do OpenSSL incluída com o Tableau, adicionando a opção -config:

sudo /opt/tableau/tableau_server/packages/apache.20243.24.1015.1532/bin/openssl req -new -key tableau.key -out tableau.csr -config /opt/tableau/tableau_server/packages/apache.20243.24.1015.1532/conf/openssl.cnf -addext "subjectAltName=DNS:tableau.yourdomain.com,DNS:viz.yourdomain.com"

Passo 4: Preencha os dados da sua organização

O OpenSSL solicita os mesmos campos de Nome Distinto que no Windows. Use valores exatos e legais:

• Country Name (2 letter code): o código ISO de duas letras do país, por exemplo CA.
• State or Province Name: o nome completo do estado ou província, por exemplo Ontario.
• Locality Name: o nome completo da cidade, por exemplo Ottawa.
• Organization Name: o nome legal completo da sua empresa, por exemplo Your Company LLC. Para certificados validados por domínio (DV), este campo não é validado e pode ser omitido, mas não pressione apenas Enter: o OpenSSL insere então o valor padrão definido na sua configuração, e a configuração padrão vem com Internet Widgits Pty Ltd, o que acabaria no seu CSR. Digite um único ponto (.) para deixar o campo genuinamente vazio. O mesmo se aplica a País e Estado, cujos valores padrão são AU e Some-State.
• Organizational Unit Name: descontinuado. Pressione Enter para saltar.
• Common Name: o FQDN exato que o Tableau Server irá servir, por exemplo tableau.seudominio.com. Indique o mesmo valor que a sua primeira entrada SAN.
• Email Address: um email de contacto válido, ou pressione Enter para saltar.
• A challenge password e An optional company name: deixe ambos em branco.

O OpenSSL grava o CSR em tableau.csr no diretório a partir do qual executou o comando.

Verifique o CSR antes de o enviar

Detete erros de digitação no Nome Distinto ou entradas SAN em falta antes de a CA os validar. Imprima o CSR com o mesmo OpenSSL incluído. No Linux:

sudo /opt/tableau/tableau_server/packages/apache.20243.24.1015.1532/bin/openssl req -noout -text -in tableau.csr

No Windows, a partir do mesmo diretório bin do Apache:

openssl.exe req -noout -text -in tableau.csr

Confirme três coisas no resultado: o Subject mostra o seu DN exato, o bloco X509v3 Subject Alternative Name lista todos os nomes de host necessários, e o tamanho da Public-Key corresponde ao que gerou. Também pode colar o CSR no nosso Decodificador de CSR para fazer a mesma verificação no navegador.

Envie o CSR à sua Autoridade Certificadora

Abra o ficheiro tableau.csr num editor de texto. O ficheiro é texto simples, começando com -----BEGIN CERTIFICATE REQUEST----- e terminando com -----END CERTIFICATE REQUEST-----. Copie o bloco completo, incluindo essas linhas de cabeçalho e rodapé, e cole-o no campo do CSR durante o processo de checkout com a sua CA.

Se preferir saltar o passo manual do editor, o nosso Gerador de CSR pode produzir um CSR e uma chave privada no navegador, usando as mesmas predefinições do OpenSSL, prontos para colar no fluxo de checkout da sua CA.

Instale o certificado assinado no Tableau Server

Depois de a CA validar o seu pedido e enviar por email o certificado assinado juntamente com a cadeia (pacote CA), importa os três ficheiros (certificado, chave privada, cadeia) através do Tableau Services Manager. Pode usar a interface web do TSM em https://<tsm-host>:8850, em Configuration > Security > External SSL, ou a linha de comandos tsm, por exemplo:

tsm security external-ssl enable --cert-file tableau.crt --key-file tableau.key --chain-file tableau-chain.crt
tsm pending-changes apply

Preste atenção às extensões dos ficheiros. O Tableau exige que o ficheiro da cadeia termine em .crt, não em .pem ou .ca-bundle, e o ficheiro do certificado também deve ser .crt. As Autoridades Certificadoras normalmente entregam a cadeia como um ficheiro .ca-bundle, por isso renomeie-o antes de importar, caso contrário o Tableau irá rejeitá-lo.

O Tableau Server reinicia para carregar o novo certificado. Para o procedimento completo (formatos de ficheiro, gestão da frase-passe, verificação pós-instalação), consulte o nosso guia sobre como instalar um certificado SSL no Tableau Server.

Perguntas Frequentes