Requisitos previos y terminología para claves de solo caché

Requisitos previos

• El Servicio de claves de solo caché solo está disponible para secretos de arrendatario. No es compatible con claves raíz, como las utilizadas con Cifrado de índice de búsqueda.
• Prepare su organización de Salesforce. Asegúrese de que su organización tiene al menos una clave Datos en Salesforce activa, ya sea generada por Salesforce o proporcionada por el cliente. Puede crear un secreto de arrendatario haciendo clic en Generar secreto de arrendatario en la página Gestión de claves en Configuración.
• Genere y aloje material clave. El formato y el protocolo de intercambio de claves de solo caché requiere que las claves estén incluidas en un Cifrado web de JSON (JWE) vehemente. Este formato utiliza RSAES-OAEP para el cifrado de claves y AES GCM para el cifrado de contenido.
• Utilice un servicio seguro y de confianza para generar, almacenar o realizar copias de seguridad de su material de claves.
• Utilice y mantenga un servicio de claves de alta disponibilidad fiable. Para mitigar cualquier posible impacto sobre la continuidad del negocio, seleccione un servicio de clave de alta disponibilidad con un acuerdo a nivel de servicio (SLA) aceptable, procedimientos de mantenimiento predefinidos y procesos.
• Cuando la conexión entre Salesforce y su servicio de claves se rompe, el Servicio de claves de solo caché puede cifrar y descifrar datos siempre que su material de claves esté en el caché. Sin embargo, las claves no permanecen en el caché por mucho tiempo.
  

  Nota En promedio, la memoria caché se lava aproximadamente cada 72 horas. Algunas operaciones internas limpian la caché cada 24 horas.
• Si su material de claves no está en el caché y la conexión con su servicio de claves se rompe, los usuarios no pueden cifrar o descifrar registros. Asegúrese de utilizar un servicio clave al que Salesforce pueda conectarse en cualquier momento, especialmente durante las horas de mayor actividad, como fin de año o trimestre.
• Mantenga un extremo de llamada seguro. El protocolo de intercambio de claves de solo caché requiere que las claves estén incluidas en un formato de JSON vehemente. Aloje su clave incluida en la respuesta clave en una ubicación que Salesforce puede solicitar.
• El Servicio de clave de solo caché utiliza credenciales con nombre para establecer una conexión segura autenticada a dominios y direcciones IP permitidos. Puede configurar sus credenciales con nombre para utilizar formatos de autenticación populares, como Mutual TLS y OAuth. Puede cambiar estos protocolos de autenticación en cualquier momento.
  

  Nota Una credencial nombrada para claves de solo caché debe especificar un principal nombrado. La creación de una credencial nombrada de claves de solo caché requiere el proceso Credenciales nombradas básico con el paso agregado de agregar el usuario autoproc a un conjunto de permisos. Consulte Utilizar una credencial basada en principal nombrada para una clave de solo caché para obtener detalles completos.
• Monitoree sus registros de servicio de claves de forma activa en busca de errores. Cuando Salesforce está aquí para ayudarle con el servicio Cifrado de plataforma Shield, usted es el responsable de mantener el servicio de claves de alta disponibilidad que utiliza para alojar su material de claves. Puede utilizar el objeto RemoteKeyCalloutEvent para revisar o seguir eventos de claves de solo caché.
  

  Advertencia Como está al mando de control de sus claves, usted es responsable de proteger y crear copias de seguridad de su material de claves. Salesforce no puede recuperar material de claves perdido almacenado fuera de nuestro caché de claves cifradas.
• Conozca cómo asignar un formato y reunir su material de claves. Asigne un formato al material de claves almacenado fuera de Salesforce de una forma compatible con el Servicio de claves de solo caché. Asegúrese de que puede generar estos componentes en los formatos requeridos.

  Componentes de claves de solo caché

  Componente	Formato
  Clave de cifrado de datos (DEK)	AES 256 bits
  Clave de cifrado de contenido (CEK)	AES 256 bits
  Certificado compatible con BYOK	Certificado RSA de 4096 bits cuya clave privada está cifrada con una clave secreta de arrendatario específica de la organización derivada. Importante Salesforce está cumpliendo con una reducción del tiempo de caducidad de los certificados CA en toda la industria. Lea la información en Certificados en Salesforce y planifique en consecuencia.
  Encabezado y contenido de Cifrado web de JSON	Consulte una muestra en Github.
  Algoritmo para el cifrado de CEK	RSA-OAEP
  Algoritmo para el cifrado de DEK	A256GCM
  Identificador de clave único	Permite números, letras mayúsculas y minúsculas, puntos, guiones y guiones bajos
  Vector de inicialización	Codificado en base64url
  Id. de token web de JSON (JTI)	Un identificador generado de forma aleatoria, codificado hexadecimal de 128 bits

Lea más sobre el ensamblaje de su material clave en Crear y ensamblar su material clave. Consulte Envoltorio de claves de solo caché en GitHub para obtener ejemplos y una utilidad de muestra.

Terminología

Estos son algunos términos específicos del Servicio de claves solo de cache.

Clave de cifrado de contenido

Para cada solicitud de clave, su extremo de servicio de claves genera una clave de cifrado e contenido exclusiva. La clave de cifrado de contenido encierra la clave de cifrado de datos, que luego se cifra por la clave de cifrado de claves. Después de eso, se coloca en el encabezado JWE de la respuesta clave.

Cifrado web de JSON

La estructura basada en JSON que el servicio Cifrado de plataforma Shield utiliza para cifrar contenido. Cifrado web de JSON, o JWE, utiliza RSAES-OAEP para el cifrado de claves y AES GCM para el cifrado de contenido.

Id. de token web de JSON

Un identificador exclusivo para el token web JSON, que activa la información de identidad y seguridad que va a compartir en los dominios de seguridad.

Identificador de claves

El Id. de clave (KID) es el identificador único para su clave. El KID se utiliza como el sufijo en la credencial con nombre y para la validación del KID en la respuesta. En Configuración, ingrese este identificador en el campo Identificador de clave único.