Felsöka användning av egen nyckel
Läs dessa vanliga frågor för att hjälpa dig felsöka problem som uppstår med Shield Platform Encryption-tjänsten Bring Your Own Key.
Versioner som krävs
| Tillgängligt i både Salesforce Classic (inte tillgängligt i alla organisationer) och Lightning Experience. |
| Tillgängliga i: Enterprise, Performance och Unlimited Editions med licenserna Salesforce Shield eller Shield Platform Encryption. |
| Finns gratis i Developer Edition. |
- Jag försöker använda ett av de skript ni tillhandahåller, men det körs inte.
- Se till att du kör rätt skript för ditt operativsystem. Om du arbetar på en Windows-maskin kan du installera en Linux-emulator och använda Linux-skriptet. Dessa problem kan också hindra skriptet från att köras:
- Du har inte skrivbehörighet för den mapp där du försöker köra skriptet. Försök köra skriptet från en mapp du har skrivbehörighet för.
- Certifikatet som skriptet refererar saknas. Se till att du har skapat certifikatet.
- Certifikatet saknas eller refereras inte med rätt namn. Se till att du har angett rätt filnamn för ditt certifikat i skriptet.
- Jag vill använda ett av de skript ni tillhandahåller, men jag vill även använda min egen slumptalsgenerator.
- Det skript vi tillhandahåller använder en slumptalsgenerator för att skapa ett slumpmässigt värde som sedan används som din arrendatorhemlighet. Om du vill använda en annan generator, ersätt
head -c 32 /dev/random | tr '\n' =(eller, i Mac-versionen,head -c 32 /dev/random > $PLAINTEXT_SECRET) med ett kommando som skapar ett slumpmässigt nummer med den generator du föredrar.
Anteckning Vi rekommenderar /dev/random over /dev/urandom på grund av dess sannare slumpmässiga skapandeprocess. - Kan jag använda min egen hashingprocess för att hasha min arrendatorhemlighet?
- Inga problem. Se till att resultatet uppfyller dessa krav:
- Använder en SHA-256-algoritm.
- Resulterar i en base64-kodad hashad arrendatorhemlighet.
- Skapar en hash av det slumpmässiga numret INNAN kryptering av det.
- Hur ska jag kryptera min arrendatorhemlighet innan jag laddar upp den till Salesforce?
- Om du använder det skript som tillhandahålls tas krypteringsprocessen hand om. Om du inte använder skriptet, specificera rätt utfyllnadsschema när du krypterar din arrendatorhemlighet. Kontrollera kraven för utfyllnad i våra exempelskript. Se till att de resulterande krypterade arrendatorhemligheterna och hashade arrendatorhemlighetfilerna kodas med base64. Om något av dessa kriterier inte uppfylls går det inte att ladda upp din arrendatorhemlighet.
- Om du väljer att inte använda ett av de skript som tillhandahålls, använd det närmaste skriptet som en modell.
- Min omgivna DEK accepteras inte. Vad ska jag göra?
- Se till att du omger dina rotnyckelskapade DEK:er (till exempel för sökindex kryptering) med den offentliga nyckeln från det BYOK-kompatibla certifikatet som du skapade med SHA512-paddingalgoritmen. Du kan testa att omge dina andra BYOK-arrendatorhemligheter med SHA1-algoritmen.
- Mitt certifikat håller på att gå ut. Vad ska jag göra?
- Certifikat som du använder endast för att ladda upp hemligheter, till exempel för BYOK, behöver endast vara giltiga när du laddar upp nyckelmaterialet. Men för endast-cache-nycklar används ditt certifikat aktivt och måste fortsätta vara giltigt för att Salesforce ska kunna packa upp innehållskrypteringsnyckeln (CEK) som omger det underliggande materialet för datakrypteringsnyckeln (DEK). Ett certifikat som har gått ut förhindrar att din endast-cache-nyckel används.
Viktig Salesforce följer en branschomfattande minskning av tiden till upphörande för CA-certifikat. Läs informationen i Certifikat i Salesforce och planera enligt detta. - Min sessionstoken eller importtoken har gått ut. Vad ska jag göra?
- Du kan ladda ner det certifikat du redan har skapat. Du får en ny sessionstokenfil med den. På sidan Bring Your Own Key (Hämta egen nyckel) i Inställningar, klicka på knappen Ladda ner certifikat och token. Extrahera sessionstokenfilen från .zip-filen som laddas ner. Ladda sedan upp sessionstoken tillsammans med din inbäddade arrendatorhemlighet.
- Jag kan inte ladda upp min krypterade arrendatorhemlighet och hashade arrendatorhemlighet.
- En handfull fel kan förhindra dina filer från att laddas upp. Använd diagrammet för att se till att dina arrendatorhemligheter och certifikat är korrekta.
Möjlig orsak Lösning Dina filer skapades med ett certifikat som har gått ut. Kontrollera ditt certifikats datum. Om det har gått ut kan du förnya ditt certifikat eller använda ett annat. Ditt certifikat är inte aktivt, eller är inte ett giltigt Bring Your Own Key-certifikat. Se till att dina certifikatinställningar är kompatibla med Bring Your Own Key-funktionen. Under sektionen Redigera certifikat och nyckel på sidan Certifikat, välj en certifikatstorlek på 4096-bit, inaktivera Exporterbar privat nyckel och aktivera Plattformskryptering. Läs mer om certifikat som har gått ut i avsnittet "Mitt certifikat håller på att gå ut". Du har inte bifogat både den krypterade arrendatorhemligheten och den hashade arrendatorhemligheten. Se till att du bifogar både den krypterade arrendatorhemligheten och den hashade arrendatorhemligheten. Båda dessa filer ska ha suffixet .b64. Din arrendatorhemlighet eller hashade arrendatorhemlighet har inte skapats korrekt. Det finns flera problem som kan orsaka detta fel. Vanligtvis har arrendatorhemligheten eller den hashade arrendatorhemligheten inte skapats med rätt SSL-parametrar. Om du använder OpenSSL kan du se skriptet för ett exempel på de korrekta parametrar du ska använda för att skapa och hasha din arrendatorhemlighet. Om du använder ett annat bibliotek än OpenSSL, kontrollera det bibliotekets supportsida för hjälp med att hitta rätt parametrar för att både skapa och hasha din arrendatorhemlighet.
Fortfarande fast? Kontakta din kundansvariga på Salesforce. De sätter dig i kontakt med någon på Salesforce som kan hjälpa dig.
- Jag har problem med att ladda upp mina certifikat.
- För att kunna laddas upp måste ett certifikat vara i ett giltigt JKS-format. Gå igenom kraven och de vanligaste problemen för export- och importcertifikat med en Keystore.
- Jag har problem med min BYOK för databaskryptering.
- Databaskryptering hanterar sitt nyckelmaterial annorlunda.
- Du kan endast ladda upp arrendatorhemligheter som tillhandahålls av kunder på sidan Nyckelhantering i Inställningar. API-stöd är inte tillgängligt.
- Det går inte att skapa BYOK-kompatibla certifikat via API.
- Om du stöter på dessa fel när du försöker ladda upp nyckelmaterial, här är några potentiella fixar.
Fel Tips för att åtgärda problemet Ladda upp två filer: din omgivna arrendatorhemlighet och sessionstoken som följde med certifikatet som du använde för att omge din arrendatorhemlighet. Se till att du väljer båda de filer som behövs: den krypterade arrendatorhemliga filen och sessionstokenfilen. Klicka sedan på Ladda upp. Denna sessionstoken är inte giltig. Ladda ner en annan kopia på denna sida och försök igen. Om du fortfarande inte kan ladda upp den, kontakta Salesforces kundsupport. På sidan Bring Your Own Database Encryption Key [Hämta egen databaskrypteringsnyckel] i Inställningar, klicka på knappen Hämta certifikat och token. Extrahera sessionstokenfilen från .zip-filen som laddas ner. Ladda sedan upp sessionstoken tillsammans med din inbäddade arrendatorhemlighet. Din arrendatorhemlighet måste vara en 256-bitars AES-nyckel omgiven av en flyktig 256-bitars AES-nyckel, allt omgivet av den offentliga nyckeln från certifikatet som laddas ner från denna sida. Om din arrendatorhemlighet uppfyller dessa krav men du inte kan ladda upp den, kontakta Salesforces kundsupport. Se till att din arrendatorhemlighet och flyktiga nyckel har rätt storlek. Dubbelkolla att du krypterade dem med den offentliga nyckeln från det aktuella certifikatet som listas under sektionen Hantera certifikat på sidan Bring Your Own Database Encryption Key [Hämta din egen databaskrypteringsnyckel]. Vi kan inte autentisera din arrendatorhemlighet med rätt sessions-ID. Försök igen senare, eller kontakta Salesforces kundsupport. Ibland kan Salesforce inte autentisera ditt sessions-ID, vilket förhindrar oss från att matcha din session med den sessionstoken du laddar upp. Problemet orsakas vanligtvis av en intern process som löses med tiden. Testa att ladda upp din inbäddade arrendatorhemlighet och sessionstoken senare. Det går inte att ladda upp kundlevererade arrendatorhemligheter för databaskryptering via API. BYOK för databaskryptering är endast tillgängligt via Inställningar. Ladda upp din kundlevererade arrendatorhemlighet på sidan Bring Your Own Database Encryption Key [Hämta din egen databaskrypteringsnyckel]. Ett annat certifikat använder redan denna etikett. Ange en unik etikett. Varje certifikat måste ha en unik etikett. Du kan se sidan Hantera certifikat och nycklar i Inställningar för att se dina befintliga certifikat. Något gick fel. Försök igen senare eller kontakta Salesforces kundsupport. Försök igen senare, eller kontakta din kontoansvariga för att få hjälp med felsökning i din pilottestorganisation. - Jag har problem med att ladda upp min BYOK för Data 360
- Om du stöter på dessa fel när du försöker ladda upp nyckelmaterial, här är några potentiella fixar.
Fel Tips för att åtgärda problemet Data Cloud-rotnyckeln är inte redo för uppladdning Du kan stöta på denna status när du försöker ladda upp din Data 360 BYOK. Salesforce upplevde ett problem med att förbereda din nya Data Cloud-rotnyckel. Dess status är markerad som Väntar så att du kan försöka igen. Gå till sidan Nyckelhantering i Inställningar. I rotnyckelinventeringen, på fliken Data Cloud, klicka på Försök igen. Legitima innehåll men utgången certifikatnyckel. Certifikatet som används är antingen ogiltigt eller har gått ut. Ladda ner certifikatet och token igen. Giltig token, men ogiltig inbäddad nyckel. Nyckeln som laddats upp är ogiltig. Använd riktlinjerna i hjälpskriptet för att skapa och omge din importnyckel och försök igen. - Jag kan inte synkronisera alla data i mina transaktionsdatabasdata med min nya arrendatorhemlighet.
- På grund av hur databaskryptering krypterar data på fragmentnivå används en ny arrendatorhemlighet för att kryptera data som behövs av dina användare. Tidigare krypterade data kan alltid avkrypteras med tidigare DEK. Detta är en anledning till att databaskryptering inte har stöd för att förstöra nycklar.
- Jag har fortfarande problem med min nyckel. Vem ska jag prata med?
- Om du fortfarande har frågor, kontakta din kundansvariga. De sätter dig i kontakt med ett supportteam som är specialiserade på denna funktion.
Löste denna artikel ditt problem?
Berätta för oss vad vi kan förbättra!
