Tableau und Power BI lesen das Lakehouse – ohne zweites Rechtemodell

Ein Feed, zwei Anbindungen

Tableaus eigene Erweiterungswege für Web-Daten sind ausgelaufen: Web Data Connector 2.x ist seit Tableau 2023.1 entfernt, WDC 3.0 ist abgekündigt. Der von Tableau selbst empfohlene Nachfolger ist der REST-API-Connector aus dem Tableau Exchange – ein von Tableau gebauter und signierter Connector, der einen HTTP-GET-Endpunkt mit JSON oder CSV liest.

Deshalb liegt auf unserer Seite nicht ein Plugin, das gepflegt und signiert werden müsste, sondern genau der Endpunkt, den Tableaus offizieller Connector erwartet. Nebeneffekt: derselbe Feed ist ohne Zusatzarbeit aus anderen Werkzeugen lesbar.

Dieselbe Kette, kein Parallelweg

Das ist der Punkt, an dem sich diese Anbindung von einer gewöhnlichen unterscheidet. Sie baut das Berechtigungskonzept nicht nach, sie benutzt es.

Bearer-Verifikation                    -> Nutzer
Token-Exchange (RFC 8693, aud=trino)   -> dessen Identität
Trino: Grants + Row-Access + Masking   -> dessen Ausschnitt
WORM-Audit-Kette (thread_id "tableau") -> nachvollziehbar

• Kein Dienstkonto – auch die Schemaauskunft läuft unter dem getauschten Token des Analysten
• Wer eine Tabelle in Trino nicht sehen darf, bekommt hier 404
• Wer sie sehen darf, sieht genau die Zeilen und Spalten, die seine Policies erlauben
• Kein Aufrufer-SQL: die Adresse trägt nur Katalog, Schema, Tabelle, Seitenparameter und Sortierspalten
• Nur Lesen – erzeugt wird strukturell ein SELECT mit ORDER BY, OFFSET und LIMIT

Ein BI-Zugang mit eigenem Rechtemodell ist eine zweite Wahrheit darüber, wer was sehen darf. Dieser hat keins.

Nachvollziehbar bis zur einzelnen Seite

Jeder Datenabruf erzeugt einen Eintrag in der Audit-Kette – einen je Seite, wertfrei: Zielobjekt, Seitenparameter, Format. Ein Auszug in Tableau ist damit vollständig rekonstruierbar, einschließlich der Versuche, die Trino abgewiesen hat. Antworten gehen als „no-store“ heraus, damit governance-pflichtige Daten in keinem Zwischenspeicher auf dem Weg liegen bleiben.

Kennzahlen statt Joins

Der Feed kennt nicht nur Tabellen und Sichten, sondern auch die kuratierten Kennzahlen der Semantikschicht. Eine Semantik-Sicht – eine Kennzahl mit gespeicherten Joins – erreicht Tableau damit als eine flache Tabelle, ohne dass der Analyst die Joins kennen muss.

?catalog=…&schema=…&table=…     eine Tabelle oder Sicht
?metric=<name>[&dimension=…]    eine kuratierte Kennzahl

Kein OLAP-Cube – und warum das kein Verlust ist

Wer in Tableau nach einer OLAP-Verbindung sucht, meint eine multidimensionale Quelle: einen Cube, der über MDX abgefragt wird. Den gibt es hier nicht. Die Anbindung ist relational, über den lesenden Feed. Das ist eine bewusste Entscheidung, und Tableaus eigene Dokumentation liefert die Begründung mit: Cube-Quellen laufen nur unter Windows, Extrakte lassen sich aus den meisten nicht erzeugen, Datenquellenfilter fehlen ganz, Hierarchien müssen vorher im Cube stehen, in einer Datenmischung darf der Cube nur die primäre Quelle sein – und Arbeitsmappen mit Cube-Quelle lassen sich nicht in die Tableau Cloud veröffentlichen.

Dazu kommt der Punkt, der uns hier wichtiger ist: Ein Cube ist eine zweite Kopie mit einem zweiten Rechtemodell. Beim Feed gilt die Rechteprüfung der Plattform, Zeilen- und Spaltenrichtlinien greifen mit, und jeder Abruf schreibt einen Auditeintrag. Was ein Cube dafür kann und der Feed nicht: vorberechnete Aggregate. Wer die braucht, legt sie als Kennzahl an, statt sie nachts neu zu bauen.

Ab Werk ausgeschaltet

Eine BI-Anbindung ist eine Datenausleitung. Darüber soll ein Plattform-Administrator bewusst entscheiden, nicht eine Vorgabe. Der Schalter steht deshalb in der Konsole, liegt in der Datenbank statt in einer Umgebungsvariable, wird in der WORM-Kette protokolliert, wirkt ohne Neustart – und ist im Auslieferungszustand aus. Ausgeschaltet heißt: Schema- und Datenendpunkt antworten 403, unabhängig von den Rechten des Aufrufers.

• Eine Obergrenze für Zeilen je Seite, die den harten Wert im Code nur senken kann – ein größerer Wert wird abgewiesen, nicht stillschweigend gekappt
• Eine Katalog-Allowlist als zweite Schranke vor Trino: sie beantwortet, welche Daten das Haus überhaupt in Richtung BI verlassen dürfen
• Die Allowlist ersetzt keine Rechte – wer einen Katalog in Trino nicht sehen darf, sieht ihn auch dann nicht, wenn die Liste ihn nennt

BI: Bedeutung und Business-Intelligence-Definition

BI steht für Business Intelligence: Daten werden aufbereitet und ausgewertet, um geschäftliche Entscheidungen zu unterstützen. Dazu gehören nachvollziehbare Kennzahlen, Berichte und Dashboards. Für ein belastbares Ergebnis müssen Definition, Zeitraum und Datenquelle zusammenpassen – etwa, ob Umsatz mit oder ohne Stornierungen gerechnet wird.

BI-Dashboards auf einer gemeinsamen Datengrundlage

Ein BI-Dashboard bündelt die Kennzahlen für eine Aufgabe, zum Beispiel Vertrieb oder Einkauf. Legen Sie vor der Gestaltung fest, wer es nutzt und welche Entscheidungen es unterstützen soll. lavalake bietet eigene Dashboards sowie den hier beschriebenen Feed für externe BI-Werkzeuge. Für Tableau und Power BI gilt weiterhin der oben ausgewiesene Prüfstand der Anbindungen.