Qu'est-ce que Bring Your Own Key ?

Avec Shield Platform Encryption, les administrateurs Salesforce peuvent gérer le cycle de vie de leurs clés de cryptage des données (DEK) tout en protégeant ces clés contre tout accès non autorisé. En contrôlant le cycle de vie des secrets locataires de votre organisation, vous contrôlez le cycle de vie des clés de cryptage des données dérivées de ces secrets. Pour certains services de cryptage, vous pouvez vous désabonner de la dérivation de clé et charger une clé de cryptage des données finale.

Les DEK ne sont pas stockés dans Salesforce. Généralement, ils sont dérivés du secret principal (également appelé KDF seed) et du secret locataire à la demande dès qu'une clé est nécessaire pour crypter ou décrypter les données des clients. Le secret principal est généré une seule fois par version pour tout le monde lors d'une cérémonie virtuelle High Assurance (HAVC) en utilisant un module de sécurité matériel (HSM). Le secret locataire ou clé racine est unique à votre organisation, et vous contrôlez quand il est généré, activé, révoqué ou détruit.

Pour configurer votre matériel de clé, vous disposez de quatre options.

• Utilisez Shield Platform Encryption pour générer un matériel de clé spécifique à votre organisation.
• Utilisez l'infrastructure de votre choix, par exemple un HSM sur site, pour générer et gérer votre matériel de clé hors de Salesforce. Chargez ensuite ce secret locataire dans le KMS Salesforce régional. Cette option s'intitule Bring Your Own Key (Apportez votre propre clé). Si le matériel de clé est un secret locataire, vous fournissez le secret locataire à partir duquel la clé est dérivée. Si vous fournissez une clé racine, vous fournissez une clé qui enveloppe votre clé de cryptage en toute sécurité.
• Désabonnez-vous complètement du processus de dérivation de clé Shield Platform Encryption avec le service Bring Your Own Key. Utilisez l'infrastructure de votre choix pour créer un DEK au lieu d'un secret locataire. Chargez ensuite ce DEK dans le Shield KMS régional. Lorsque vous vous désabonnez de la dérivation clé par clé, Shield Platform Encryption contourne le processus de dérivation et utilise ce matériel de clé comme DEK final. Vous pouvez permuter les DEK fournis par le client de la même façon que les secrets locataires fournis par le client. BYOK est actuellement disponible pour FLE, Database Encryption, Index de recherche, et Platform Encryption pour Data 360. Dans le cas de Data 360, BYOK prend en charge uniquement les chargements de clé racine. Les autres fonctionnalités prennent en charge uniquement les chargements DEK.
• Vous pouvez générer et stocker votre matériel de clé hors de Salesforce en utilisant le service de clé de votre choix. Utilisez ensuite le Service de gestion des clés externes ou le Service de clé Cache-Only Salesforce pour récupérer votre matériel de clé à la demande. Votre service de clé transmet votre matériel de clé sur un canal sécurisé que vous configurez. Il est ensuite crypté et stocké en mémoire cache pour des opérations immédiates de cryptage et de décryptage. Les clés Cache-Only ne sont pas disponibles pour le Cryptage de la base de données.