検索およびデータベース暗号化用の BYOK 秘密を生成するサンプルスクリプト

2025_search_secretgen.shファイルの内容。このスクリプトは Linux または MacO システムで実行できます。

このスクリプトは、Bring Your Own Key(BYOK)というプロセスを使用して、Salesforce Shield Platform Encryption用の安全な鍵を生成します。まず、Salesforce 証明書から公開鍵を抽出します。次に、2 つのランダムな AES 鍵 (一時鍵と「顧客」鍵) を作成します。一時鍵は、公開鍵と強力な暗号化スキーム (SHA-512 を使用する RSA-OAEP) を使用して暗号化されます。この暗号化された一時鍵は、別の暗号化スキーム (パディングを使用した AES 鍵ラップ) を使用して顧客鍵をラップするために使用されます。最後に、暗号化された一時鍵とラップされた顧客鍵を 1 つのペイロードに結合し、base64 形式でエンコードします。その後、このペイロードを Salesforce にアップロードして、機密データを安全に暗号化できます。

#!/bin/bash
set -euo pipefail

CERT_IN="$1"
OPENSSL="openssl"

# Extract public key from X.509 certificate
$OPENSSL x509 -in "$CERT_IN" -pubkey -noout > byok_public_key.pem

# Generate a random temporary AES key (256 bits)
$OPENSSL rand -out temp_aes_key.bin 32

# Encrypt the temp AES key using RSA-OAEP with SHA-512
$OPENSSL pkeyutl -encrypt \
  -pubin \
  -inkey byok_public_key.pem \
  -in temp_aes_key.bin \
  -out temp_key_wrapped.bin \
  -pkeyopt rsa_padding_mode:oaep \
  -pkeyopt rsa_oaep_md:sha512 \
  -pkeyopt rsa_mgf1_md:sha512

# Generate the actual target AES key to be wrapped
$OPENSSL rand -out target_aes_key.bin 32

# Convert temp AES key to hex format for the -K parameter
KEY_HEX=$(hexdump -v -e '/1 "%02x"' < temp_aes_key.bin)

# AES Key Wrap with Padding using OpenSSL 3.x
$OPENSSL enc -id-aes256-wrap-pad \
  -iv A65959A6 \
  -K "$KEY_HEX" \
  -in target_aes_key.bin \
  -out target_key_wrapped.bin

# Combine both parts into final payload
cat temp_key_wrapped.bin target_key_wrapped.bin > payload.bin

# Cleanup
rm "$CERT_IN" byok_public_key.pem temp_aes_key.bin target_aes_key.bin temp_key_wrapped.bin target_key_wrapped.bin