Trabajar con material clave externo

De modo que pueda mantener un control más completo sobre su material clave, Salesforce le ofrece tres opciones: BYOK (Aportar su propia clave), EKM (Gestión de claves externas) y el servicio de claves de solo caché.

• Aportar su propia clave (BYOK)
  Cuando proporciona su propio secreto de arrendatario o clave de cifrado de datos (DEK), obtiene los beneficios integrados en Salesforce Shield Platform Encryption, además de la seguridad adicional que proviene de la gestión exclusiva de su propio material de claves. Dependiendo de la función, BYOK admite claves derivadas y DEK. Para ser compatible con Salesforce BYOK, utilice un par de claves RSA 4096 cifradas con PKCS#8 con codificación Base64 con encabezados y pies de página apropiados.
• Gestión de claves externas
  Gestión de claves externas (EKM) de Shield conecta su implementación de Salesforce con su material de claves (secreto de arrendatario, clave de cifrado de datos o clave raíz) en un KMS externo y utiliza ese material de claves para operaciones de cifrado en datos de Salesforce. EKM obtiene sus claves bajo demanda desde KMS externo a través de un canal seguro. EKM está actualmente disponible para servicios de cifrado principales (como FLE), todos los datos de Data 360 y para Shield Platform Encryption Search Indexs.
• Servicio de clave de solo caché
  El Servicio de claves de solo caché de Cifrado de plataforma Shield soluciona una necesidad exclusiva de material de clave no persistente. Puede almacenar su material clave fuera de Salesforce en cualquier repositorio o servicio de claves que controle y hacer que el Servicio de clave de solo caché obtenga su clave on demand desde ese servicio de claves. Su servicio de clave transmite su clave en un canal seguro que configura, y el Servicio de clave de solo caché utiliza su clave para cifrar y descifrar operaciones de forma inmediata. Salesforce no conserva o persiste sus claves de solo caché en ningún sistema de registro o copias de seguridad. Puede revocar el material clave en cualquier momento.
• Configurar su conexión de llamadas de clave de solo caché
  Utilice una credencial con nombre para especificar el extremo para su llamada e identificar la clave que desea obtener desde su extremo.