Service de clé cache seulement

Le service de clé cache seulement de Shield Platform Encryption répond à un besoin unique de matériel de clé non permanent. Vous pouvez stocker votre matériel de clés hors de Salesforce et utiliser le service de clé cache seulement pour récupérer votre clé à la demande à partir d'un service de clé que vous contrôlez. Votre service de clé transmet votre clé sur un canal sécurisé que vous configurez, et le service de clé cache seulement utilise votre clé pour les opérations de cryptage et de décryptage immédiates. Salesforce ne conserve pas et ne perpétue pas vos clés cache seulement dans un système d'enregistrement ou de sauvegarde. Vous pouvez révoquer à tout moment le matériel de clé.

Éditions requises

Disponible avec Salesforce Classic (pas disponible dans toutes les organisations) et avec Lightning Experience

Disponible avec : Enterprise Edition, Performance Edition, Unlimited Edition et Developer Edition. Nécessite d'acheter Salesforce Shield ou Shield Platform Encryption, et le Service de gestion des clés externes.

Remarque BYOK et le service de clé cache seulement permettent de contrôler entièrement le service de clé que vous utilisez pour vos clés externes. EKM prend en charge uniquement AWS KMS.

• Fonctionnement des clés Cache-Only
  Le service de clé Shield Platform Encryption Cache-Only permet d'accéder à divers services de clé pour générer, sécuriser et stocker votre matériel de clé. Une clé cache-only contourne le processus de dérivation de clé. Par conséquent, elle est utilisée pour crypter et décrypter directement vos données. Vous pouvez utiliser un service de clé sur site, héberger votre propre service de clé sur le cloud ou utiliser un fournisseur de clé sur le cloud. Les services qui incorporent des principaux nommés pour les identifiants sont recommandés, bien que les services clés qui utilisent des identifiants nommés hérités sans principaux nommés soient pris en charge.
• Prérequis et terminologie des clés Cache-Only
  Le service de clé Cache-Only de Shield Platform Encryption renforce votre contrôle de votre matériel de clé. Lorsque vous utilisez des clés cache-only, vous contrôlez un plus grand nombre de tâches de gestion des clés. Avant de commencer à utiliser le service, découvrez comment créer et héberger votre matériel de clé à l'aide d'une méthode compatible avec le service BYOK de Salesforce. Consultez également plusieurs termes importants pertinents pour le service de clé Cache-Only.
• Optimisation de la sécurité à l'aide d'identifiants nommés et des clés Cache-only
  Vous pouvez utiliser une clé gérée en externe en tant que clé Cache-only. Les identifiants externes créent une connexion sécurisée entre Salesforce et votre référentiel de clés externes. Pour une sécurité optimale, configurez un identifiant externe qui utilise un principal nommé pour l'authentification à votre service externe au nom de tous les utilisateurs autorisés à gérer le matériel de clé. Salesforce recommande d'utiliser cette méthode au lieu d'un identifiant nommé hérité si vous utilisez un service de gestion des clés externe comportant des clés Cache-only.
• Création et assemblage de votre matériel de clé
  Le service de clé Shield Platform Encryption Cache-Only est compatible avec les clés AES 256 bits renvoyées dans la réponse JSON, puis encapsulé en utilisant le Cryptage Web JSON (JWE).
• Ajout de la détection de relecture pour des clés Cache-Only
  La détection de relecture protège vos clés cache-only si un appel externe est intercepté de façon frauduleuse. Lorsqu'elle est activée, la détection de relecture insère dans chaque appel externe un marqueur unique, automatiquement généré, appelé RequestIdentifier. Le RequestIdentifier inclut l'identificateur de clé, un nonce (valeur à usage unique) généré pour cette instance d'appel externe et le nonce requis par le point de terminaison. Le RequestIdentifier sert d'identificateur aléatoire unique pour chaque requête d'appel externe valide. Après avoir configuré votre service de clé pour accepter et renvoyer le RequestIdentifier, tout appel externe dans lequel le marqueur RequestIdentifier est manquant ou ne correspond pas est abandonné.
• Vérification de la connexion à votre clé cache seulement
  Puisque votre matériel de clé cache seulement est stocké hors de Salesforce, il est important de maintenir une connexion d'appel externe opérationnelle. Utilisez la page Vérification de l'appel externe pour surveiller votre connexion et intervenir rapidement en cas d'interruption du service de clé, qui pourrait empêcher la récupération de vos clés par le service.
• Destruction d'une clé Cache-Only
  Lorsque vous détruisez une clé cache-only, vous détruisez deux éléments : Clé dans le cache et la connexion d'appel externe au service de clé.
• Réactivation d'une clé Cache-Only
  Si votre identifiant nommé est toujours associé à une clé qui a été détruite dans Salesforce, vous pouvez réactiver une clé Cache-Only détruite depuis la Configuration ou par programmation avec l'API. La réactivation d'une clé détruite la définit en tant que clé active. Avant de réactiver une clé détruite, assurez-vous que la connexion au service de clé correspondant a été rétablie.
• Considérations relatives aux clés Cache-Only
  Ces considérations s'appliquent à toutes les données que vous cryptez en utilisant le service de clé Shield Platform Encryption Cache-Only.
• Dépannage des clés Cache-Only
  Les réponses à une ou plusieurs questions fréquemment posées ci-dessous peuvent vous aider à dépanner les problèmes rencontrés avec le service de clé Cache-Only de Shield Platform Encryption.

Voir également :

• Stockage du matériel de clé
• Gestion des clés externes
• Gestion et permutation des clés