Por que Traga sua própria chave?

Disponível no Salesforce Classic (não disponível em todas as organizações) e no Lightning Experience.

Disponível em: Edições Enterprise, Performance e Unlimited com as licenças Salesforce Shield ou Shield Platform Encryption.

Disponível gratuitamente na Developer Edition.

Com o Shield Platform Encryption, você gerencia o ciclo de vida de suas chaves de criptografia de dados (DEKs) enquanto protege essas chaves contra acesso não autorizado. Controlando o ciclo de vida dos segredos de locatário da sua organização, você controla o ciclo de vida das chaves de criptografia de dados derivadas deles. Para alguns serviços de criptografia, você pode recusar totalmente a derivação de chave e fazer upload de um DEK final.

Por padrão, o Salesforce deriva DEKs do segredo principal e do segredo do locatário para uso durante cada operação de criptografia e descriptografia. O Salesforce gera o segredo principal com um módulo de segurança de hardware (HSM) uma vez por versão durante uma Cerimônia virtual de alta garantia. Embora cada processo de derivação de chave use o mesmo segredo primário por versão, seu segredo do locatário ou chave-raiz é exclusivo da sua organização. Você controla quando ele é gerado, ativado, revogado ou destruído. O Salesforce não armazena DEKs derivados.

Você tem quatro opções para configurar seu material de chave.

• Use o Shield Platform Encryption para gerar material de chave específico da organização.
• Use a infraestrutura de sua escolha, como um HSM local, para gerar e gerenciar material de chave fora do Salesforce. Em seguida, carregue esse segredo do locatário no Salesforce. Essa opção é conhecida como Traga sua própria chave. Se o material de chave for um segredo do locatário, você fornecerá o segredo do locatário do qual a chave é derivada. Se você fornecer uma chave raiz, fornecerá uma chave que encapsule com segurança sua chave de criptografia.
• Opte por sair completamente do processo de derivação de chave da Shield Platform Encryption com o serviço Traga sua própria chave. Use a infraestrutura de sua escolha para criar uma DEK em vez de um segredo do locatário. Em seguida, carregue esse DEK para o Serviço de gerenciamento de chaves (KMS) Shield regional. Shield Platform Encryption ignora o processo de derivação e usa esse DEK diretamente durante operações de criptografia e descriptografia. Você pode fazer a rotação de DEKs fornecidos pelo cliente da mesma maneira que faz a rotação de segredos do locatário fornecidos pelo cliente. O BYOK está disponível para criptografia em nível de campo, criptografia de banco de dados, índices de pesquisa, Backup & Recover Next e Data 360. O BYOK para Backup & Recover Next e o Data 360 oferecem suporte apenas a uploads de chave-raiz. Os outros recursos oferecem suporte apenas a uploads DEK.
• Gere e armazene material de chave fora do Salesforce usando o serviço de chave de sua escolha. Em seguida, use o Serviço de gerenciamento de chave externa do Salesforce ou o Serviço de chave somente em cache do Salesforce para buscar seu material de chave sob demanda. Seu serviço de chave transmite material de chave por meio de um canal seguro que você configura. O Salesforce então a criptografa e a armazena no cache para operações imediatas de criptografia e descriptografia. Chaves somente em cache não estão disponíveis para a Criptografia de banco de dados.