Bring Your Own Key (BYOK)
独自のテナントの秘密またはDEK(データ暗号化鍵)を提供すると、Salesforce Shield Platform Encryptionに組み込まれたメリットと、独自の鍵素材の排他的な管理によるさらなる保証が得られます。機能に応じて、BYOK は派生キーと DEK をサポートします。Salesforce BYOK との互換性を確保するには、適切なヘッダーとフッターを使用して、PKCS#8 で暗号化された Base64 エンコード 4096 RSA 鍵ペアを使用します。
必要なエディション
| Salesforce Classic (使用できない組織もあります) および Lightning Experience の両方で使用できます。 |
| 使用可能なエディション: Salesforce Shield または Shield Platform Encryption ライセンスが付属する Enterprise Edition、Performance Edition、および Unlimited Edition。 |
| Developer Edition で無料で使用できます。 |
| 必要なユーザー権限 | |
|---|---|
| テナントの秘密および顧客が指定した鍵素材を生成、破棄、エクスポート、インポート、アップロードする | 「暗号化鍵の管理」 |
| Shield Platform Encryption Bring Your Own Key サービスでの HSM により保護された証明書を編集、アップロード、およびダウンロードする | 「暗号化鍵の管理」 および 「証明書の管理」 および 「アプリケーションのカスタマイズ」 |
独自のテナントの秘密または DEK を制御するには、次の作業が必要です。
- 暗号化種別の BYOK 互換の証明書を生成する
- その BYOK 互換の証明書を使用して、自己生成されたテナントの秘密または DEK を暗号化および保護する
- Salesforce Shield Platform Encryption 鍵管理マシンにテナントの秘密へのアクセス権を付与する
メモ BYOK は、複数の Shield Platform Encryption 機能（FLE、Database Encryption、Data 360 など）で使用できます。機能に適切な手順を使用していることを確認します。
監査を容易にするために、Salesforce が生成した鍵素材と顧客が指定した鍵素材はすべて [鍵の管理] ページに表示されます。
- Bring Your Own Key (BYOK) の概要
独自の暗号ライブラリ、エンタープライズ鍵管理システム、またはハードウェアセキュリティモジュール (HSM) を使用して、顧客が指定した鍵素材を生成して Salesforce の外部に保存できます。その後、Salesforce Shield Platform Encryption 鍵管理マシンにそれらの鍵へのアクセス権を付与します。自己署名証明書または CA 署名証明書の公開鍵を使用して鍵を暗号化する必要があります。BYOK は、FLE、ファイルと添付ファイル、イベントバスデータ、検索インデックス、Data 360、データベース暗号化で使用できます。 - BYOK 互換の証明書の生成
項目レベルの暗号化や検索の暗号化など、任意の機能の Bring Your Own Key (BYOK) 鍵素材を使用して Salesforce のデータを暗号化するには、Salesforce を使用して 4096 ビット RSA 証明書を生成します。自己署名証明書または証明機関 (CA) 署名証明書を生成できます。各 BYOK 互換の証明書の非公開鍵は、派生した組織固有のテナントの秘密鍵で暗号化されます。 - 証明書フィンガープリントの生成
このスクリプトを使用して、証明書のフィンガープリントを取得します。 - BYOK 鍵素材をラップ
BYOK 鍵素材として乱数を生成します。FLE の場合のみ、秘密の SHA256 ハッシュを計算し、生成した BYOK 互換証明書の公開鍵を使用して暗号化します。 - BYOK 鍵素材のアップロード
Shield Platform Encryptionは、FLE、イベント ログ データ、検索インデックス暗号化、データベース暗号化のBYOKをサポートします。これらはすべて異なる暗号化対象をサポートしているため、異なる種別の BYOK 鍵素材が必要です。FLE、イベントログデータ、データベース暗号化の場合、テナントの秘密 BYOK をアップロードします。フォーカス検索インデックス暗号化: データ暗号化鍵 (DEK) をアップロードします。 - BYOK を使用した鍵派生の除外
項目レベルの暗号化 (FLE)、ファイルと添付ファイル、イベントバスデータの場合、鍵派生を除外して最終的なデータ暗号化鍵 (DEK) をアップロードできます。鍵派生を除外すると、データの暗号化と復号化に使用される鍵素材を、さらに細かく制御できます。 - BYOK 鍵の適切な管理
Salesforce 外で独自の鍵素材を作成および保存する場合は、その鍵素材を保護することが重要です。鍵素材をアーカイブするための信頼できる場所を確保し、テナントの秘密やデータ暗号化鍵をバックアップなしでハードドライブに保存しないようにします。 - Bring Your Own Key のトラブルシューティング
Shield Platform Encryption の Bring Your Own Key サービスで問題が発生した場合のトラブルシューティングに役立ててください。
関連項目:
この記事で問題は解決されましたか?
ご意見をお待ちしております。
