Script de amostra para gerar segredos BYOK para Backup e Recover Next e Data 360

Conteúdo do arquivo 2025_dc_rootkeygen.sh. Você pode executar esse script em sistemas Linux ou MacOs.

Esse script gera uma chave-raiz segura compatível com os repositórios de dados Backup & Recover Next e Data 360. Você fornece o token de importação e o certificado que você gerou na página BYOK.

• Verifique se um nome de certificado é passado e se ele é recuperável. Saída na falha.
• Extraia a chave pública do certificado. Saída na falha.
• Crie o material de chave real (neste script, usamos um número aleatório de 32 bits) como um arquivo chamado PlainTextKeyMaterial.bin.
• Use o openssl para quebrar (criptografar) o arquivo PlainTextKeyMaterial.bin com a chave pública do certificado usando os protocolos de quebra RSAES_OAEP_SHA_256 e RSA_4096. Esse processo produz o arquivo EncryptedKeyMaterial.bin.
• Opcionalmente, exclua os arquivos de texto simples temporários e o arquivo de entrada PublicKey.b64.

Você então pode carregar o arquivo EncryptedKeyMaterial.bin e o token de importação original para o Salesforce.

#!/bin/bash
## BYOK for Backup & Recover Next Data 360 sample script to generate and prepare a root key for upload.
## Pass in as parameter: Certificate file (.crt) downloaded from the
##  Generate Certificate page (referred in this script as certificate.crt or CERT_FILE).

## Validate input parameter
if [ -z "$1" ]; then
    echo "Error: Please provide a certificate file as parameter."
    echo "Usage: ./2025_dc_rootkeygen.sh certificate.crt."
    exit 1
fi

if [ ! -f "$1" ]; then
    echo "Error: File '$1' not found."
    exit 1
fi

CERT_FILE="$1"
PUBLIC_KEY_FILE="public_key.pem"

## Step 1: Extract public key from certificate
echo "Extracting public key from certificate..."
openssl x509 -in "$CERT_FILE" -pubkey -noout > "$PUBLIC_KEY_FILE"

if [ $? -ne 0 ]; then
    echo "Error: Failed to extract public key from certificate."
    exit 1
fi

echo "Public key extracted to $PUBLIC_KEY_FILE."

## 3.0 Generate Key material as PlaintextKeyMaterial.bin
openssl rand -out PlaintextKeyMaterial.bin 32

## 3.1 wrap key material
# Note: we are using RSAES_OAEP_SHA_256 and RSA_4096 for wrapping
# Using PEM format public key directly
openssl pkeyutl \
    -encrypt \
    -in PlaintextKeyMaterial.bin \
    -out EncryptedKeyMaterial.bin \
    -inkey "$PUBLIC_KEY_FILE" \
    -keyform PEM \
    -pubin \
    -pkeyopt rsa_padding_mode:oaep \
    -pkeyopt rsa_oaep_md:sha256 \
    -pkeyopt rsa_mgf1_md:sha256

echo "=== Output file:"
echo "    EncryptedKeyMaterial.bin created." 

## Optional cleanup. Remove the # from the next two lines if you want to delete the files automatically
# rm PlaintextKeyMaterial.bin
# rm "$PUBLIC_KEY_FILE"