EKM 考量事項
管理外部金鑰時請特別小心。您的 Salesforce 應用程式取決於您的外部金鑰來加密和解密您的資料。如果金鑰狀態變更,您的使用者可能會永久失去對加密資料的存取權。
必要版本
| Lightning Experience 和 Salesforce Classic (並非所有組織皆適用)。 |
| 提供版本：Enterprise、Performance、Unlimited 及 Developer Edition。需要購買 Salesforce Shield 或 Shield Platform Encryption,以及外部金鑰管理服務。Data 360 客戶也必須擁有 Platform Encryption for Consumption 授權。 |
| 需要的使用者權限 | |
|---|---|
| 若要產生、終結、匯出、匯入、上載和設定租戶機密以及客戶提供的金鑰資料： | 管理加密金鑰 |
- 請確保您的加密原則包含金鑰輪換和金鑰備份策略,以防非預期的金鑰遺失。停用作業會從快取中淘汰加密金鑰資料。如果停用或停用外部金鑰或相關聯的 Salesforce 資料加密金鑰,則無法再存取使用這些金鑰加密的相關 Salesforce 資料。
- 在生產環境中建立的外部金鑰無法在 Sandbox 中啟用或停用,且只能用於在 Sandbox 中解密。為 Sandbox 建立新的根金鑰,並在重新整理後立即輪替 Sandbox 資料加密金鑰。輪替可確保生產與 Sandbox 組織使用不同的資料加密金鑰,且您可以完全控制這些金鑰。
- 如果金鑰無法在外部 KMS 上使用,則在從快取清洗金鑰之後,無法加密或解密。嘗試存取加密資料的使用者會看到三個問號 (???),而非加密文字。將資料寫入加密欄位的任何嘗試都會失敗。使用者會看到錯誤訊息,表示金鑰無法使用。
- 當外部金鑰無法使用時,我們會將金鑰的狀態變更為「無法使用」。這表示我們會停止嘗試呼叫外部 KMS 取得金鑰。您可以檢查連線以嘗試重新連線至金鑰並更新其狀態。
- Platform Encryption for Data 360 僅管理 EKM 根金鑰,而非資料加密金鑰。
- 不同於 Salesforce Shield,其可針對不同的功能 (例如欄位和檔案,以及搜尋索引) 擁有個別的金鑰,Data 360 只能使用一個金鑰:單一 EKM 根金鑰或其所有資料的 Salesforce 根金鑰 (也稱為客戶管理金鑰)。
- 針對 Data 360,從客戶管理金鑰移轉至 EKM 只會影響 Data 360 資料來源中的新資料。從 EKM 金鑰移轉回客戶管理的金鑰會觸發 Data 360 資料來源中所有資料的重新加密。
- 如果您使用 EKM,仍可輪替產品可用的其他金鑰類型 (EKM、BYOK、僅限快取金鑰或 Salesforce 產生的金鑰)。
此文章是否解決您的問題？
請讓我們知道，以便我們改進！
