如何基于特定维度/分组限制Tableau仪表盘访问权限

这个需求完全不需要碰Tableau自带的分组、权限模块，用数据层行级过滤的逻辑就能实现，后续逐批开放权限的维护成本极低，具体实现步骤如下：

• 第一步：搭一张独立的轻量权限映射表
  不用改原有业务库结构，单独建一张两列的表就行，存本地Excel、在线文档都能用来接入：
  • 第一列叫账号名：存用户登录Tableau的完整账号，必须和Tableau Server/Cloud里记录的登录名完全匹配——用本地域部署的要带域前缀，用Tableau Cloud的直接存登录邮箱就行
  • 第二列叫授权州：存对应用户能访问的州名称，值要和业务数据里States字段的格式完全统一，要么都存全称要么都存缩写，别混着来导致匹配不上
    初期只需要录第一批要开放的州对应的用户映射就行，后面要开新州的权限，直接往这张表里加行，完全不用动Tableau后台的任何配置。
• 第二步：在Tableau Desktop里配数据源关联
  正常连接原有业务数据表，再把刚才做的权限映射表接进来。新建一个计算字段，命名为当前访问账号，公式直接用Tableau内置函数USERNAME()就行，这个函数不需要传任何参数，用户打开报表的时候会自动识别当前登录的账号。
  把权限映射表的账号名字段，和刚建的当前访问账号计算字段做内连接，这一步会自动把当前用户没权限的关联数据先过滤掉一层。
• 第三步：加全局生效的权限筛选
  别给每个工作表单独加筛选，直接在数据源层配规则，一次配置全仪表盘生效。新建计算字段权限校验，分两种场景写公式：
  如果一个用户只需要分配单个州的权限，公式写：

  [States] = [授权州]
  

  如果存在一个用户要开多个州权限的情况，把权限表里的授权州列改成用固定分隔符拼接的多州字符串（比如California,New York），公式换成：

  CONTAINS([授权州], [States])
  

  写完把权限校验字段拖到数据源筛选器里，设置筛选条件为True，这个规则会自动套用到所有用这个数据源做的工作表、仪表盘上，不会漏。

方案优势 #

• 全流程操作要么在数据源层面调整，要么在Desktop端编辑报表时完成，根本不需要进Tableau站点的权限管理页，也不用建任何内置用户组，完全符合限制条件
• 后续权限迭代特别省事：逐批开放新州访问权的时候，只需要在权限映射表里加对应账号和授权州的记录，刷新下数据权限就自动生效，不用重新发布报表、也不用调后台配置
• 权限是硬隔离：没在映射表里的用户、或者用户想越权看其他州的数据时，匹配不到对应的数据行，仪表盘不会透出任何敏感业务数据，不会出越权的问题

踩坑提示：如果测试的时候发现授权不生效，先查权限表里的账号名和Tableau系统记录的登录名是不是完全一致，大小写、域前缀、邮箱后缀差一个字符都能导致匹配失败。

内容的提问来源于stack exchange，提问作者CodingNoob