Gerenciamento de chave externa
O Gerenciamento de chave externa (EKM) Shield conecta sua implementação do Salesforce ao seu material de chave (segredo do locatário, chave de criptografia de dados ou chave-raiz) em um KMS externo e usa esse material de chave para operações de criptografia em dados do Salesforce. O EKM busca suas chaves sob demanda do KMS externo por meio de um canal seguro. O EKM está disponível atualmente para serviços de criptografia essenciais (como FLE), todos os dados do Data 360 e para índices de pesquisa da Shield Platform Encryption.
Edições obrigatórias
| Disponível tanto no Lightning Experience quanto no Salesforce Classic (não disponível em todas as organizações). |
| Disponível em: Edições Enterprise, Performance, Unlimited e Developer. Requer a compra do Salesforce Shield ou Shield Platform Encryption e o Serviço de gerenciamento de chaves externas. Os clientes do Data 360 também devem ter a licença de Criptografia de plataforma para consumo. |
| Permissões necessárias ao usuário | |
|---|---|
| Para gerar, destruir, exportar, importar, carregar e configurar segredos do locatário e material de chave fornecido pelo cliente: | Gerenciar chaves de criptografia |
Ao criptografar dados usando o EKM, você obtém os benefícios integrados à Criptografia da plataforma Salesforce Shield, além da garantia extra que vem do gerenciamento de suas chaves com seu serviço de gerenciamento de chaves preferido. Diferentemente do Serviço de chave somente em cache da Salesforce, o EKM se integra nativamente a serviços de gerenciamento de chaves externas para uma experiência de usuário mais rápida e simplificada.
Para os recursos centrais do Shield Platform Encryption que não usam seu próprio segredo do locatário (campos, arquivos e anexos, dados de análise do CRM e dados de barramento de eventos), o EKM gerencia seu segredo do locatário. O EKM armazena seu segredo do locatário no cache da chave e usa sua chave para operações imediatas de criptografia e descriptografia.
Para recursos do Shield Platform Encryption que usam uma chave-raiz (Criptografia de plataforma para Data 360 e Criptografia de índice de pesquisa), o EKM gerencia sua chave-raiz.
O Salesforce não retém nem persiste suas chaves EKM somente em cache em nenhum sistema de registro ou backup. Você pode revogar o material de chave a qualquer momento.
- Como o Salesforce Shield EKM funciona
Ao usar o Gerenciamento de chaves externas (EKM), o Shield Platform Encryption depende do Serviço de gerenciamento de chaves externas (KMS) de um cliente para gerenciar chaves de criptografia de dados (DEKs). Esses DEKs são cruciais para criptografar e descriptografar dados. Quando não estão em uso, os DEKs são armazenados em um estado "encapsulado" (criptografado) dentro do cache de chave do Shield Platform Encryption. Para qualquer operação de criptografia ou descriptografia, o Shield Platform Encryption envia o DEK encapsulado ao serviço de chave externa do cliente, que então o desencapsula e o retorna com segurança. Esse processo permanece consistente para usuários do Data 360 também. - Pré-requisitos do EKM
Para usar o EKM, você deve criar uma chave de criptografia de dados (DEK) de força suficiente em um serviço de gerenciamento de chaves externas compatível. Você também deve verificar se um aplicativo externo pode se comunicar com o serviço de chave para recuperar a DEK com segurança. - Configuração da política de coordenação principal
Acompanhe o status da chave KMS externa e da chave EKM do Salesforce que depende dela. - Conectar o Salesforce ao AWS KMS e criar uma chave de criptografia de dados
Ao configurar sua conexão entre o Salesforce e a AWS, você fornece informações sobre a chave do AWS KMS que deseja que o Salesforce use (identificador de chave, região e descrição). Você então gera uma estrutura JSON e adiciona essa estrutura à sua política de chave no console da AWS para sua chave. - Manutenção e auditoria de chave para EKM
Operações de chave comuns incluem auditoria, desativação, reativação, rotação e verificação da conexão com suas chaves externas. Essas operações afetam as chaves identificadas na configuração do Salesforce. As chaves originais no KMS externo são gerenciadas por um processo externo separado. - EKM em uma organização de sandbox
Uma organização de sandbox copiada, atualizada ou clonada de uma organização de origem que usa chaves EKM recebe acesso mínimo às chaves da organização de origem para que possa descriptografar quaisquer dados criptografados que herdou da organização de origem. Uma organização de sandbox não pode gerenciar as chaves da organização de origem de modo algum, pois os sandboxes têm acesso limitado a essas chaves. Gire as chaves em uma organização de sandbox assim que criá-la.
