如何为本地部署的Tableau Server添加自定义登录、登出页面？

1. 前置准备：Trusted Auth/SSO 实现绕过原生登录 #

先完成基础可信认证/SSO配置，即可实现跳过Tableau原生登录页：

• 开启Tableau Server可信认证功能，执行tsm命令：
  tsm configuration set -k wgserver.trusted_hosts -v "你的自有Web应用服务器IP/域名" --force-keys
tsm pending-changes apply
• 自有Web端发起登录请求时，先向Tableau Server请求ticket，携带已验证的用户名拿到ticket后，拼接http://<tableau-server>/trusted/<ticket>/<目标视图路径>即可跳过原生登录页直接进入内容页；SAML/OIDC类SSO方案同理，在IDP侧配置登录入口指向你的自定义登录页即可。

2. 登出/会话超时跳转自定义登出页配置 #

通过修改Tableau Server的网关配置和会话参数实现需求：

• 第一步配置自定义登出跳转地址：
  tsm configuration set -k gateway.public.url -v "你的自定义登出页完整URL"
• 第二步修改会话超时后的跳转逻辑，同步开启登出自定义重定向规则：
  tsm configuration set -k wgserver.unauthenticated.redirect_path -v "你的自定义登出页路径/完整URL"
tsm configuration set -k features.LogoutCustomRedirectionEnabled -v true
• 执行tsm pending-changes apply重启服务生效，此后用户主动登出、会话超时触发的重定向都会指向你配置的自定义页面，不会再跳转原生登录页。

3. 拦截直接访问Tableau Server的请求 #

根据你的部署场景可选择两种可行方案：

方案1：反向代理层拦截（推荐） #

在Tableau Server前置部署Nginx/Apache反向代理，所有请求先走代理层校验：

• 校验请求头的Referer字段，仅允许Referer为你的自有Web应用域名的请求通过
• 拦截所有直接访问Tableau根路径、登录路径的请求，直接302重定向到你的自定义登录页
• 注意放行trusted auth、SSO回调的相关接口路径，避免认证逻辑失效

方案2：Tableau 嵌入式授权配置 #

如果你的Tableau内容都是嵌入到自有Web应用使用，可开启内容的嵌入式访问限制：

• 在Tableau Server的站点设置中，勾选仅允许嵌入在以下列出的网站中，填入你的自有Web应用域名
• 此时直接访问Tableau内容URL会返回权限错误，你可以配合自定义错误页配置，将该错误页重定向到你的自定义登录页

注意：所有tsm配置修改后都需要执行生效命令重启相关服务，生产环境建议先在测试环境验证配置逻辑再上线。

内容的提问来源于stack exchange，提问作者spn_1234