プラットフォームの暗号化に関する Q&A
プラットフォームの暗号化に関するよくある質問を次に示します。
必要なエディション
| Salesforce Classic (使用できない組織もあります) および Lightning Experience の両方で使用できます。 |
| 使用可能なエディション: Salesforce Shield または Shield Platform Encryption ライセンスが付属する Enterprise Edition、Performance Edition、および Unlimited Edition。 |
| Developer Edition で無料で使用できます。 |
メモ このコンテンツは、Shield Platform Encryption に関連します。「Implementing field-level encryption using Shield Extension in Own from Salesforce」を参照してください。
| 質問 | 回答 |
|---|---|
| プラットフォームの暗号化を使用するためのハードウェアとソフトウェアの要件は? | なし。暗号化関数は、Salesforce Platform でネイティブに実行されます。データの暗号化または復号化にカスタムコードは必要ありません。 |
| プラットフォームの暗号化を使用する場合、すべてのデータを暗号化する必要がありますか? | いいえ。すべてのデータが機密であるとは限らないため、暗号化が常に必要とは限りません。また、不必要にデータを暗号化すると、パフォーマンスと機能に影響する可能性があります。ただし、必要に応じて、[データベースの暗号化] を使用してトランザクションデータベース全体を暗号化できます。 |
| プラットフォームの暗号化を有効にすると、既存の暗号化項目にどのような影響がありますか? | プラットフォームの暗号化プロセスは、Classic Encryption を使用して暗号化された項目には影響しません。 |
| プラットフォームの暗号化を有効にすると、ユーザーにパフォーマンスの遅延が発生しますか? | Shield Platform Encryption が有効になっている場合、ユーザーが Salesforce の日常使用のパフォーマンスに違いを感じることはほとんどありません。本番組織で有効にする前に、Full Copy Sandbox で Shield Platform Encryption を有効にして、実際の条件でテストすることをお勧めします。 |
| プラットフォームの暗号化で使用される暗号化アルゴリズムは? | FLE およびデータベース暗号化の場合、プラットフォーム暗号化では対称鍵暗号化と 256 ビット Advanced Encryption Standard (AES) アルゴリズムを使用して、Salesforce Platform に保存されているデータを暗号化します。データの暗号化と復号化はアプリケーションサーバーで実行されます。暗号化は Salesforce アプリケーションに統合されているため、アプリケーションはデータを暗号化または復号化する必要があるタイミングを把握できます。ユーザーインターフェースと API のどちらを使用してデータにアクセスしているかに関係なく、暗号化と復号化は同じ方法で処理されます。 |
| API を使用してテナントの秘密にアクセスできますか? | はい。たとえば、FLE の場合、API を使用して、プラットフォーム暗号化鍵を定期的に循環する自動プロセスを定義できます。詳細については、「Object Reference for Salesforce and Lightning Platform」で「TenantSecret」を検索してください。 |
| Salesforce がマスターシークレットを循環するときに、メモリに保持されているデータ暗号化鍵は自動的に循環しますか? | いいえ。Salesforce はリリースごとに主秘密を循環しますが、顧客のデータ暗号化鍵は影響を受けません。新しいデータ暗号化鍵は自動的に取得されません。 |
| プラットフォームの暗号化を使用しているが、既存のカスタム項目を作成または編集するときに [暗号化] チェックボックスが表示されない。理由 | 暗号化に使用できるのは、[メール]、[電話]、[テキスト]、[テキストエリア]、[ロングテキストエリア]、[テキストエリア (リッチ)]、[日付]、[日付/時間]、[URL] カスタム項目のデータ型のみです。 |
| テナントの秘密を循環すると、既存のデータはどうなりますか? | 新しいテナントの秘密を生成すると、古いテナントの秘密が破棄されない限り、既存の暗号化されたデータは暗号化されたままでアクセスできます。(データベース暗号化のアーキテクチャにより、その鍵が破棄されることはありません)。新しいデータは、新しいテナントの秘密を使用して暗号化されます。ユーザーに機能的な違いはありません。 |
| Platform Encryption で暗号化するデータをどの程度詳細に制御できますか? | 項目データの場合、暗号化するサポート対象の標準項目とカスタム項目を制御します。ファイルと添付ファイルの場合、組織で暗号化を有効にするかどうかを制御します。 |
| プラットフォームの暗号化を有効にすると、カスタム電話、メール、および URL 項目の形式は保持されますか? | はい。カスタム電話項目、メール項目、および URL 項目の形式は、暗号化されても保持されます。 |
| ハードウェアセキュリティモジュール (HSM) ネットワークアプライアンスは複数のテナントで共有されていますか? | はい。HSM によって生成される鍵素材は、リリースごとの秘密またはテナントごとの秘密のいずれかです。どちらもデータを暗号化するために必要であるため、2 つのテナントで同じデータ暗号化鍵が使用されることはありません。 |
| サードパーティベンダーはハードウェアセキュリティモジュール (HSM) にアクセスできますか? | いいえ。Salesforce が HSM へのアクセスを排他的に制御します。 |
| テナントの秘密、主秘密、データ暗号化鍵の長さは? | 256 ビット長。 |
| データ暗号化鍵はどこに保存されていますか? | キーはメモリにのみ保存され、ディスクに保持されません。 |
| Salesforce の外部で鍵を管理することはできますか? | はい。鍵を Salesforce の外部に保存し、外部鍵管理サービスまたはキャッシュのみの鍵サービスを使用して、制御する鍵サービスから鍵をオンデマンドで取得できます。 |
| 使用できる鍵の数の制限は? | すべての種別のテナントの秘密で、最大 50 個の有効な FLE テナントの秘密とアーカイブされた FLE テナントの秘密を設定できます。データベーステナントの秘密はこの制限に含まれません。たとえば、[項目とファイル (確率的)] のテナントの秘密については有効なテナントの秘密を 1 件、アーカイブされたテナントの秘密を 49 件使用でき、Analytics テナントの秘密も同じ数を使用できます。この制限には、Salesforce が生成した鍵素材と、顧客が指定した鍵素材が含まれます。 |
| すでに有効でアーカイブ済みの秘密が多すぎる場合は? | 50 の制限に達した場合は、暗号化カバー率統計を確認して有効な鍵カバー率を見つけます。破棄するキーを 1 つ以上選択します。有効な鍵で暗号化されているデータを同期するまで、これらの鍵を破棄しないでください。 |
| Salesforce 以外で保存した鍵は 50 鍵の制限に含まれますか? | 破棄されない鍵は全体で 50 個に制限されています。これには、EKM、BYOK、キャッシュのみの鍵サービスを介して外部サービスで管理される鍵が含まれます。 |
| 組織固有の鍵の生成方法は? | データ暗号化鍵は、主秘密を組織固有のテナントの秘密およびランダムに生成された 128 ビット文字列と組み合わせる鍵派生関数 (KDF) によって取得されます。 |
| 暗号化ポリシーはどこで定義されていますか? | 組織は独自のポリシーを定義します。 |
| 暗号化されたデータを再暗号化できますか? | はい。暗号化カバー率統計を確認して、有効な鍵カバー率を確認できます。必要に応じて、バックグラウンド暗号化サービスを使用して、データの暗号化を最新のテナントの秘密と同期できます。 |
| プラットフォーム暗号化鍵を複数の組織で共有できますか? | いいえ。暗号化鍵は組織に固有であり、他の組織と共有できません。さらに、キーは 1 つの機能にのみ使用できます。たとえば、FLE のキーは検索インデックスには使用できません。 |
| プラットフォームの暗号化を使用して項目、ファイル、添付ファイルを暗号化することは、組織のストレージ制限に含まれますか? | いいえ。暗号化と復号化は、組織のトランザクションあたりのApex制限に含まれますが、個別のトランザクションとして計数されません。 |
| 暗号化できる項目数は? | Salesforce では、暗号化できる項目数にハードリミットは設定されていませんが、機能制限が 1 つあります。Shield Platform Encryption を有効にしていて、パッケージをリリースする場合、一度にリリースできるフィールドは 80 個のみです。暗号化する項目を 80 個以上設定する場合は、パッケージを段階的にリリースし、各フェーズの項目数を 80 未満にする必要があります。 |
| 暗号化されたデータを表示できる場合、Salesforce サポート担当者もデータを表示できますか? | オブジェクト、レコード、項目へのアクセス権がある場合は、はい。 |
| データベース暗号化の有効化は永続的なアクションであるため、サブスクリプションを更新しないとどうなりますか? | Salesforce ShieldまたはShield Platform Encryptionライセンスの期限が切れると、暗号化鍵素材の管理と循環ができなくなります。Salesforce ではデータベースの暗号化が保証されなくなり、データの暗号化状況をいつでも確認することが難しくなりました。 |
この記事で問題は解決されましたか?
ご意見をお待ちしております。
