Tableau liest das Lakehouse – ohne zweites Rechtemodell

Kein eigenes Tableau-Plugin – mit Absicht

Tableaus eigene Erweiterungswege für Web-Daten sind ausgelaufen: Web Data Connector 2.x ist seit Tableau 2023.1 entfernt, WDC 3.0 ist abgekündigt. Der von Tableau selbst empfohlene Nachfolger ist der REST-API-Connector aus dem Tableau Exchange – ein von Tableau gebauter und signierter Connector, der einen HTTP-GET-Endpunkt mit JSON oder CSV liest.

Deshalb liegt auf unserer Seite nicht ein Plugin, das gepflegt und signiert werden müsste, sondern genau der Endpunkt, den Tableaus offizieller Connector erwartet. Nebeneffekt: derselbe Feed ist ohne Zusatzarbeit aus anderen Werkzeugen lesbar.

Dieselbe Kette, kein Parallelweg

Das ist der Punkt, an dem sich diese Anbindung von einer gewöhnlichen unterscheidet. Sie baut das Berechtigungskonzept nicht nach, sie benutzt es.

Bearer-Verifikation                    -> Nutzer
Token-Exchange (RFC 8693, aud=trino)   -> dessen Identität
Trino: Grants + Row-Access + Masking   -> dessen Ausschnitt
WORM-Audit-Kette (thread_id "tableau") -> nachvollziehbar

• Kein Dienstkonto – auch die Schemaauskunft läuft unter dem getauschten Token des Analysten
• Wer eine Tabelle in Trino nicht sehen darf, bekommt hier 404
• Wer sie sehen darf, sieht genau die Zeilen und Spalten, die seine Policies erlauben
• Kein Aufrufer-SQL: die Adresse trägt nur Katalog, Schema, Tabelle, Seitenparameter und Sortierspalten
• Nur Lesen – erzeugt wird strukturell ein SELECT mit ORDER BY, OFFSET und LIMIT

Ein BI-Zugang mit eigenem Rechtemodell ist eine zweite Wahrheit darüber, wer was sehen darf. Dieser hat keins.

Nachvollziehbar bis zur einzelnen Seite

Jeder Datenabruf erzeugt einen Eintrag in der Audit-Kette – einen je Seite, wertfrei: Zielobjekt, Seitenparameter, Format. Ein Auszug in Tableau ist damit vollständig rekonstruierbar, einschließlich der Versuche, die Trino abgewiesen hat. Antworten gehen als „no-store“ heraus, damit governance-pflichtige Daten in keinem Zwischenspeicher auf dem Weg liegen bleiben.

Kennzahlen statt Joins

Der Feed kennt nicht nur Tabellen und Sichten, sondern auch die kuratierten Kennzahlen der Semantikschicht. Eine Semantik-Sicht – eine Kennzahl mit gespeicherten Joins – erreicht Tableau damit als eine flache Tabelle, ohne dass der Analyst die Joins kennen muss.

?catalog=…&schema=…&table=…     eine Tabelle oder Sicht
?metric=<name>[&dimension=…]    eine kuratierte Kennzahl

Ab Werk ausgeschaltet

Eine BI-Anbindung ist eine Datenausleitung. Darüber soll ein Plattform-Administrator bewusst entscheiden, nicht eine Vorgabe. Der Schalter steht deshalb in der Konsole, liegt in der Datenbank statt in einer Umgebungsvariable, wird in der WORM-Kette protokolliert, wirkt ohne Neustart – und ist im Auslieferungszustand aus. Ausgeschaltet heißt: Schema- und Datenendpunkt antworten 403, unabhängig von den Rechten des Aufrufers.

• Eine Obergrenze für Zeilen je Seite, die den harten Wert im Code nur senken kann – ein größerer Wert wird abgewiesen, nicht stillschweigend gekappt
• Eine Katalog-Allowlist als zweite Schranke vor Trino: sie beantwortet, welche Daten das Haus überhaupt in Richtung BI verlassen dürfen
• Die Allowlist ersetzt keine Rechte – wer einen Katalog in Trino nicht sehen darf, sieht ihn auch dann nicht, wenn die Liste ihn nennt