Sie können die primären Schlüssel, die Sie zum Ver- und Entschlüsseln von Extrakten verwenden, in einem externen Schlüsselverwaltungssystem (Key Management System, KMS) speichern.Durch die Möglichkeit zur direkten Kontrolle über Verschlüsselungsschlüssel kann die Verwendung eines externen KMS dazu beitragen, die Sicherheitslage für Unternehmen zu verbessern, regulatorische Anforderungen zu erfüllen und die Datensouveränität zu wahren.

Allgemeine Informationen zu den Vorteilen der Verwendung eines externen KMS für die Schlüsselverwaltung finden Sie unter Verwenden eines externen KMS für die Schlüsselverwaltung.

Hinweis: Das Feature „Externes KMS für Extraktverschlüsselung“ ist ab Tableau Cloud Februar 2026 verfügbar, wenn Sie über Tableau +, Tableau Enterprise oder Advanced Management verfügen.Wenn Sie irgendwann nicht mehr über Tableau+, Tableau Enterprise oder Advanced Management verfügen sollten, können Sie mit Ihren verschlüsselten Objekten zwar weiterhin arbeiten, Sie können aber keine Schlüssel mehr verwalten.

Übersicht über die Einrichtung

Die zusammengefassten Schritte zur Verwendung von AWS KMS mit Tableau lauten:

1. AWS KMS: Erstellen Sie den primären Kundenschlüssel (Customer Master Key, CMK).
2. Tableau Cloud: Aktivieren Sie die Extraktverschlüsselung (oder migrieren Sie von kundenverwalteten Verschlüsselungsschlüsseln, die Salesforce KMS verwenden).
3. Tableau Cloud: Generieren Sie einen Schlüssel in Tableau, indem Sie den ARN des primären Kundenschlüssels aus dem AWS KMS verwenden.
4. AWS KMS: Fügen Sie die Tableau-Schlüsselrichtlinien-JSON zu der Richtlinie des primären AWS-Kundenschlüssels hinzu.
5. Tableau Cloud: Aktivieren Sie den Schlüssel.

Details zur Einrichtung

Die Konfiguration beginnt wie folgt:

1. Melden Sie sich bei Ihrer Tableau Cloud-Site an.
2. Wählen Sie im linken Navigationsbereich Einstellungen aus.
3. Wählen Sie die Registerkarte Sicherheit aus.

1.Erstellen eines primären Schlüssels im AWS KMS

Die Schlüssel, die von Tableau für die Verschlüsselung verwendet werden, basieren auf primären Kundenschlüsseln (Customer Master Keys, CMKs), die im AWS KMS(Link wird in neuem Fenster geöffnet) vorhanden sind.Daher müssen Sie über einen CMK im AWS KMS verfügen, bevor Tableau Schlüssel generieren kann.

Das Dialogfeld „Schlüsselgenerierung von Tableau“ enthält einen Link zum AWS KMS(Link wird in neuem Fenster geöffnet), sodass Sie einen CMK erstellen oder Informationen zu einem bereits vorhandenen abrufen können.Wenn Sie Hilfe zu Schlüsseln im AWS KMS benötigen, wenden Sie sich an Ihren lokalen Schlüsselexperten.

AWS-Schlüssel werden durch einen Amazon-Ressourcennamen (ARN) eindeutig identifiziert.Sie werden während des Generierungsprozesses des Tableau-Schlüssels aufgefordert, den CMK-ARN anzugeben.Schlüssel-ARNs sind wie folgt formatiert:

arn:aws:kms:us-east-2:123456789012:key/12345678-90ab-cdef-1234-567890abcdef

Nachdem der primäre Kundenschlüssel in AWS erstellt wurde, können Sie die Extraktverschlüsselung in Tableau Cloud aktivieren.

2.Aktivieren der Extraktverschlüsselung mit einem externen KMS

Hinweis: Nachdem Sie die Verschlüsselung aktiviert haben, können Sie sie nicht mehr deaktivieren.Ebenso ist der Wechsel von kundenverwalteten Verschlüsselungsschlüsseln (unter Verwendung des Salesforce-KMS) zu einem externen KMS dauerhaft und kann nicht rückgängig gemacht werden.

So aktivieren Sie einen externen KMS:

1. Wählen Sie im Abschnitt Extraktverschlüsselung die Option Extrakte verschlüsseln aus.
2. Wählen Sie Externen KMS verwenden aus.
   • Wenn Salesforce KMS verwenden bereits ausgewählt ist, verwenden Sie derzeit kundenverwaltete Verschlüsselungsschlüssel über den Salesforce KMS.(Weitere Informationen finden Sie unter Vom Kunden verwaltete Verschlüsselungsschlüssel(Link wird in neuem Fenster geöffnet).)Wenn Sie die Einstellung ändern, um einen externen KMS zu verwenden, ändert sich der Salesforce-KMS unwiderruflich in einen externen KMS.Bevor Sie Ihren KMS ändern, lesen Sie Migrieren von kundenverwalteten Verschlüsselungsschlüsseln zu externem KMS.
3. Wählen Sie Schlüssel generieren aus.
   • Wenn Sie von einem Salesforce-KMS zu einem externen KMS migrieren, lesen Sie die Warnung und wählen Sie dann Zu externem KMS wechseln aus.

3.Generieren eines Schlüssels

Das Generieren eines Schlüssels ist der erste Schritt zum Lesen und Schreiben verschlüsselter Extrakte.Wenn Sie bereits über einen aktiven Schlüssel verfügen, generieren Sie als ersten Schritt einen weiteren Schlüssel, um den derzeit aktiven Schlüssel zu ersetzen.

So generieren Sie einen Schlüssel in Tableau:

1. Wählen Sie im Abschnitt Extraktverschlüsselung die Option Schlüssel generieren aus.
2. Wenn Sie den ersten Schlüssel für eine Site generieren, wird das Dialogfeld Konfigurieren des AWS KMS angezeigt.Wenn Sie bereits über einen aktiven Schlüssel verfügen, durchlaufen Sie zuerst das Dialogfeld zur Bestätigung des Schlüssels generieren.
3. Wählen Sie Starten des AWS KMS aus, und melden Sie sich an, falls erforderlich.
4. Erstellen Sie im AWS KMS einen neuen Schlüssel oder suchen Sie einen vorhandenen, und kopieren Sie dann den Schlüssel-ARN.Wenn Sie Hilfe zu Schlüsseln im AWS KMS benötigen, wenden Sie sich an Ihren lokalen Schlüsselexperten.
5. Kehren Sie zum Tableau-Dialogfeld Konfigurieren des AWS KMS zurück, und fügen Sie den Schlüssel-ARN in das Feld Schlüssel-ARN aus AWS ein.
6. Geben Sie optional eine Beschreibung ein.
7. Wählen Sie Weiter aus (oder Verschlüsselung aktivieren, falls dies der erste Schlüssel für die Site ist).
8. Wählen Sie Fertig aus, um die Schlüsselrichtlinien-JSON später zum AWS KMS hinzuzufügen, oder folgen Sie den Anweisungen unter Schlüsselrichtlinien-JSON zur KMS-Schlüsselrichtlinie hinzufügen, um dies jetzt zu tun.

Der Schlüssel kann erst zum Lesen oder Schreiben von Extrakten verwendet werden, wenn Sie die Schlüsselrichtlinien-JSON zur AWS KMS-Richtlinie hinzufügen und sie dann aktivieren.

4.Hinzufügen der Schlüsselrichtlinien-JSON zur KMS-Schlüsselrichtlinie

Ein neu generierter Schlüssel hat den Status Ausstehend.Es kann erst zum Lesen oder Schreiben von Extrakten verwendet werden, wenn Sie die Schlüsselrichtlinien-JSON zu der AWS KMS-Richtlinie hinzufügen und sie dann aktivieren.

Um die Schlüsselrichtlinien-JSON anzuzeigen, fahren Sie mit dem Prozess zum Generieren eines Schlüssels fort.

Oder, wenn Sie diesen Prozess nicht fortsetzen:

1. Wählen Sie im Abschnitt Extraktverschlüsselung das Aktionsmenü (...) neben dem entsprechenden ausstehenden Schlüssel aus.
2. Wählen Sie Schlüsselrichtlinie aus.

Um die Schlüsselrichtlinien-JSON zur AWS KMS-Richtlinie hinzuzufügen, kopieren Sie das entsprechende Statement-Objekt aus Tableau in die Richtlinien-JSON im AWS KMS.Sie benötigen nur einen Teil des kompletten JSON-Textes.Beachten Sie, dass es einfacher sein kann, Schlüsselrichtlinie kopieren auszuwählen, um den Inhalt in einem Texteditor einzufügen und zu bearbeiten.

Kopieren Sie im JSON-Text das Objekt im Statement-Array.Fügen Sie dann in der Richtlinie des AWS KMS-Schlüssels den kopierten Text gemäß der standardmäßigen JSON-Syntax in der Statement-Auflistung hinzu.(Sie müssen wahrscheinlich ein Komma am Ende der vorhandenen Statement-Auflistung des AWS KMS hinzufügen, bevor Sie die neue JSON hinzufügen.)

{
    "Version": "2012-10-17",
    "Id": "sfdc-key-access-policy",
    "Statement": [
{
            "Sid": "AllowSalesforceShieldKeyBroker1234567890abc",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:sts::123456789abc:assumed-role/EkmAwsKmsAccessRole/1234567890abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ12"
            },
            "Action": [
                "kms:GenerateDataKey*",
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:sf-auth": "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQ"
                }
            }
        }
]
}

5.Aktivieren eines Schlüssels

Aktivieren Sie einen Schlüssel, um ihn zum Lesen und Schreiben neuer Extrakte verwenden zu können.Die Aktion Schlüssel aktivieren ist nur für einen ausstehenden Schlüssel verfügbar.

1. Wählen Sie im Abschnitt Extraktverschlüsselung das Aktionsmenü (...) neben dem entsprechenden ausstehenden Schlüssel aus.
2. Wählen Sie Schlüssel Aktivieren... aus.

Wenn Sie bereits über einen aktiven Schlüssel verfügen, wird durch das Aktivieren eines neuen Schlüssels der Status des vorhandenen Schlüssels in Archiviert geändert.Ein archivierter Schlüssel wird nur zum Lesen der Extrakte verwendet, die er geschrieben hat.Der neue Schlüssel wird aktiv und wird verwendet, um neue Extrakte zu schreiben und geschriebene Extrakte zu lesen.

Hinweis: Nachdem Sie die Verschlüsselung aktiviert und den ersten Schlüssel auf einer Site aktiviert haben, erstellt Tableau Cloud für jeden Extrakt auf Ihrer Site einen Hintergrundauftrag zur Extraktverschlüsselung.Diese Aufträge sind auf die niedrigste Priorität festgelegt, was bedeutet, dass sie erst ausgeführt werden, wenn zusätzliche Ressourcen vorhanden sind.Vorhandene Extraktaktualisierungsaufträge werden ausgeführt, bevor die Extrakte verschlüsselt werden.

Weitere Aktionen

Archivieren eines Schlüssels

Archivierte Schlüssel können die von ihnen geschriebenen Extrakte lesen, werden jedoch nicht zum Schreiben neuer Extrakte verwendet.Die einzige Möglichkeit, einen Schlüssel zu archivieren, besteht darin, einen neuen Schlüssel zu aktivieren.Siehe Aktivieren eines Schlüssels.

Deaktivieren eines Schlüssels

Deaktivieren Sie einen archivierten Schlüssel, um ihn für das Lesen oder Schreiben von Extrakten unbrauchbar zu machen.Dies kann erforderlich sein, wenn der Schlüssel kompromittiert wurde.Die Aktion Schlüssel deaktivieren ist nur für einen archivierten Schlüssel verfügbar.

Wenn Sie einen Schlüssel deaktivieren, kann dieser nicht zum Lesen von Extrakten verwendet werden, die er geschrieben hat (im Gegensatz zu einem archivierten Schlüssel, der geschriebene Extrakte lesen kann).Das bedeutet, dass einige extraktbasierte Inhalte möglicherweise nicht mehr funktionieren, wenn sie nicht mit einem aktiven Schlüssel verschlüsselt wurden.Wenn Sie den Zugriff auf extraktbasierte Inhalte beibehalten müssen, die den alten Schlüssel verwenden, stellen Sie sicher, dass die Extrakte mit einem aktiven Schlüssel aktualisiert werden, bevor Sie den alten Schlüssel deaktivieren.

Hinweis: Falls erforderlich, können Sie einen deaktivierten Schlüssel wiederherstellen.Wenn Sie einen Schlüssel wiederherstellen, ändert sich sein Status von Deaktiviert in Archiviert.Siehe Wiederherstellen eines Schlüssels.

So deaktivieren Sie einen Schlüssel:

1. Wählen Sie im Abschnitt Extraktverschlüsselung das Aktionsmenü (...) neben dem entsprechenden archivierten Schlüssel aus.
2. Wählen Sie Schlüssel deaktivieren... aus.
3. Geben Sie „Diesen Schlüssel deaktivieren“ in das Textfeld ein, um Ihre Aktion zu bestätigen.
4. Wählen Sie Schlüssel deaktivieren aus.

Wiederherstellen eines Schlüssels

Stellen Sie einen deaktivierten Schlüssel wieder her, damit er zum Lesen von Extrakten verwendet werden kann, die mit ihm geschrieben wurden.Die Aktion Schlüssel wiederherstellen ist nur für einen deaktivierten Schlüssel verfügbar und ändert diesen in Archiviert.

Wenn Sie einen Schlüssel im archivierten Zustand wiederherstellen, wird er nicht zum Schreiben von Extrakten verwendet.Er wird nur zum Lesen von Extrakten verwendet, die er geschrieben hat.

1. Melden Sie sich bei Ihrer Tableau Cloud-Site an.
2. Wählen Sie im linken Navigationsbereich Einstellungen aus.
3. Wählen Sie die Registerkarte Sicherheit aus.
4. Wählen Sie im Abschnitt Extraktverschlüsselung das Aktionsmenü (...) neben dem entsprechenden deaktivierten Schlüssel aus.
5. Wählen Sie Schlüssel wiederherstellen... aus.
6. Wählen Sie Schlüssel wiederherstellen aus.

Löschen eines Schlüssels

Sie können Extraktverschlüsselungsschlüssel nicht löschen.Ein Schlüssel kann nur archiviert (sodass die Fähigkeit erhalten bleibt, die von ihm geschriebenen Inhalte zu lesen) oder deaktiviert werden (sodass er weder lesen noch schreiben kann).Siehe Schlüsselstatus.

Hinweis: Wenn Sie den CMK (Customer Master Key, primärer Kundenschlüssel) in AWS KMS deaktivieren, funktionieren die von ihm abgeleiteten Tableau-Schlüssel nicht mehr für die Verschlüsselung oder Entschlüsselung.Wenn Sie die von Tableau generierte Klausel aus der CMK-Richtlinie im AWS KMS entfernen, funktionieren die von ihr abstammenden Tableau-Schlüssel nicht mehr.

Anzeigen der Schlüsselrichtlinie

Im Dialogfeld „Schlüsselrichtlinie“ wird die Schlüsselrichtlinien-JSON zum Hinzufügen zur Richtlinie des AWS KMS-Schlüssels angezeigt.Die Schlüsselrichtlinien-JSON kann während des Prozesses zum Generieren eines Schlüssels oder später hinzugefügt werden.

Weitere Informationen finden Sie unter Hinzufügen von Schlüsselrichtlinien-JSON zur KMS-Schlüsselrichtlinie.

So zeigen Sie die Schlüsselrichtlinien-JSON an:

1. Wählen Sie im Abschnitt Extraktverschlüsselung das Aktionsmenü (...) neben dem entsprechenden Schlüssel aus.
2. Wählen Sie Schlüsselrichtlinie aus.

Anzeigen des Schlüsselverlaufs

In jeder Zeile der Tabelle mit dem Schlüsselverlauf werden ein Ereignis, der Schlüsselstatus nach dem Ereignis sowie das Datum und die Uhrzeit des Ereignisses angezeigt.

So zeigen Sie den Verlauf eines Schlüssels an:

1. Wählen Sie im Abschnitt Extraktverschlüsselung das Aktionsmenü (...) neben dem entsprechenden Schlüssel aus.
2. Wählen Sie Schlüsselverlauf aus.

Testen der Konfiguration

Verwenden Sie die Aktion Konfiguration testen für einen ausstehenden Schlüssel, um zu bestimmen, ob er aktiviert werden kann.Verwenden Sie die Aktion Konfiguration testen für Schlüssel mit anderen Statuswerten, um anzuzeigen, ob sie funktionieren, funktionieren sollten oder nicht funktionieren.

So testen Sie die Konfiguration für einen Schlüssel:

1. Wählen Sie im Abschnitt Extraktverschlüsselung das Aktionsmenü (...) neben dem entsprechenden Schlüssel aus.
2. Wählen Sie Konfiguration testen... aus.

Erfolg:

• Der Schlüssel kann zum Verschlüsseln von Extrakten verwendet werden.Wenn der Schlüssel ausstehend ist, kann er sicher aktiviert werden.Wenn der Schlüssel bereits aktiv ist, funktioniert er.

Fehler:

• POLICY_DENIED – Der externe KMS verfügt nicht über eine Richtlinie, die diesen Schlüssel zulässt.Vergewissern Sie sich, dass Sie die Richtlinie von diesem Schlüssel in den externen KMS kopiert haben.
• KEY_NOT_FOUND – Der Schlüssel wurde nicht gefunden, oder der Schlüssel ist in Tableau deaktiviert.Bestätigen Sie den ARN und die Richtlinie des AWS KMS-Schlüssels.
• UNKNOWN – Ein unbekannter Fehler ist aufgetreten.Stellen Sie sicher, dass der Schlüssel in AWS KMS nicht deaktiviert ist, und versuchen Sie es noch einmal.

Hinweis: Wenn Sie den CMK (Customer Master Key, primärer Kundenschlüssel) in AWS KMS deaktivieren, funktionieren die von ihm abgeleiteten Tableau-Schlüssel nicht mehr für die Verschlüsselung oder Entschlüsselung.Wenn Sie die von Tableau generierte Klausel aus der CMK-Richtlinie im AWS KMS entfernen, funktionieren die von ihr abstammenden Tableau-Schlüssel nicht mehr.