BYOK ルート鍵を使用した Data 360 の暗号化
デフォルトでは、Salesforce は保存時の Data 360 のすべてのデータを Salesforce が管理するデータ暗号化鍵 (DEK) で暗号化します。Platform Encryption for Data 360 では、Bring Your Own Key (BYOK) を使用してルート鍵を Salesforce にアップロードできます。Data 360 ルート鍵は組織に固有であり、データを暗号化および復号化する DEK を保護します。
必要なエディション
| Lightning Experience および Salesforce Classic (使用できない組織もあります) の両方で使用できます。 |
| 使用可能なエディション: Enterprise Edition、Performance Edition、Unlimited Edition、および Developer Edition。Salesforce ShieldまたはShield Platform Encryption、外部鍵管理サービスを購入する必要があります。Data 360 ユーザーには、Platform Encryption for Consumption ライセンスも必要です。 |
| 必要なユーザー権限 | |
|---|---|
| 鍵素材を生成、破棄、エクスポート、インポート、アップロード、設定する | 「暗号化鍵の管理」 |
| [設定] を表示および編集する | 「設定・定義を参照する」 |
Data 360 データを暗号化するルート鍵は、本番環境と Sandbox 環境の両方でインポートできます。
- [設定] から、[クイック検索] ボックスに「プラットフォームの暗号化」と入力し、[暗号化設定] を選択します。
-
[Manage Data 360 Keys (データ 360 鍵の管理)] を有効にします。
Salesforce によってルート鍵が生成され、Data 360 に以前に取り込まれたすべてのデータの暗号化が開始されます。準備が整ったら、[Data 360] タブの [鍵の管理] ページで確認できます。
メモ 新しい BYOK ルート鍵をアップロードするには、最初の暗号化プロセスが完了するまで待機する必要があります。その後、Data 360 の Salesforce ルート鍵を 3 か月ごとに循環できます。 -
デフォルトのルート鍵が作成され、最初の暗号化プロセスが終了したら、独自のルート鍵をインポートできます。
- [設定] サイドバーで、[鍵の管理] を選択します。
-
[Key Management Tables (鍵管理テーブル)] セクションの [Data 360] タブで、[Generate Root Key (ルート鍵を生成)] をクリックします。
[鍵管理サービスを設定] ボックスが表示されます。
-
[Bring Your Own Root Key] をクリックします。
[証明書を作成] ページが表示されます。
- 自己署名証明書の名前を入力します。Salesforce はこの証明書を、Salesforce にアップロードするための鍵素材をラップするためだけに使用します。
- [Create Certificate (証明書の作成)] をクリックします。Bring Your Own Data 360 ルートキーが表示されます。
- [Download Certificate and Token (証明書とトークンのダウンロード)] をクリックします。2 つのファイルがコンピューターにダウンロードされます。1 つは証明書ファイル、もう 1 つはインポートトークンです。
- 証明書を使用してルート鍵をラップします。このステップをすばやく完了するために使用できるサンプルスクリプトが用意されています。
- ラップされたルート鍵ファイルの準備ができたら、[Bring Your Own Data 360 Root Key] ページで 2 つの [Choose File] ボタンをクリックします。新しいラップされたルート鍵と前にダウンロードしたインポートトークンをアップロードします。
- ルート鍵をアップロードすると、Data 360 によって自動的に DEK が作成され、ルート鍵でラップされます。
-
必要に応じて、鍵の識別と監査を容易にするためにその説明を編集することができます。説明を編集する
- [設定] から、[クイック検索] ボックスに「暗号化設定」と入力し、[鍵の管理] を選択します。
- [Data 360] タブの [Root Key Inventory] セクションで、[Details] をクリックします。
- [Edit Description (説明の編集)] をクリックします。
- 一意の説明を追加して、作業を保存します。
新しいルート鍵は、Data 360 検索インデックスを含む Data 360 データソースの新しいデータを保護する有効な鍵になります。また、Salesforce は新しい鍵素材を使用して既存のデータを再暗号化します。データ量が多い場合、再暗号化に時間がかかることがあります。[設定] の [暗号化統計] ページの Data 360 カードでこのプロセスの状況を確認します。
メモ ルート鍵では、Data 360 の非構造化データフローの暗号化に使用される DEK は制御されません。
Data 360 で外部鍵素材の暗号化が必要なリアルタイム未満のユーザーの場合、Salesforce はテナントレベルの分離を使用して、統合プロファイルの暗号化鍵を保存します。この分離により、各テナントのデータは独自の鍵で暗号化されます。
この記事で問題は解決されましたか?
ご意見をお待ちしております。
