Utilizar un KMS externo para las claves de cifrado de credenciales
Puede almacenar las claves maestras que utiliza para cifrar y descifrar las credenciales de datos almacenadas en un sistema de administración de claves (KMS) externo.Al proporcionar un control directo sobre las claves de cifrado, el uso de un KMS externo puede ayudar a mejorar la postura de seguridad para las organizaciones, cumplir con los mandatos regulatorios y mantener la soberanía de los datos.
Para obtener información general sobre las ventajas de usar un KMS externo para la administración de claves, consulte Usar un KMS externo para la administración de claves.
Nota: La funcionalidad de KMS externo para claves de cifrado de credenciales está disponible a partir de Tableau Cloud de agosto de 2026 si tiene Tableau +, Tableau Enterprise o Advanced Management.Si en algún momento ya no tiene Tableau+, Tableau Enterprise o Advanced Management, trabajar con sus objetos cifrados seguirá funcionando, pero no podrá administrar claves.
Descripción general de la configuración
Los pasos a nivel de resumen para usar AWS KMS para almacenar claves de cifrado de credenciales de datos son los siguientes:
- Habilitar el cifrado de extracciones con un KMS externo
- Habilitar el cifrado de credenciales
- Generar una clave de datos en Tableau
Estados de la clave
Cuando se utiliza un KMS externo, las claves utilizadas para el cifrado de credenciales en Tableau Cloud tienen estos estados y capacidades:
- Activa: La clave se está utilizando para cifrar credenciales y para descifrar las credenciales que cifró.
- Archivada: La clave estuvo activa en el pasado, pero fue reemplazada por una clave posterior.No se está usando para cifrar credenciales, sino para descifrar credenciales que cifró.
- Desactivada: La clave estuvo activa en el pasado, se archivó más tarde y desde entonces se ha desactivado.No se está utilizando para cifrar ni descifrar credenciales.
Referencia rápida de estado
| Estado de la clave | Puede cifrar credenciales | Puede descifrar credenciales |
|---|---|---|
| Active | ✓ | ✓ |
| Archivada | ✓ | |
| Desactivada |
Detalles de configuración
La configuración comienza con:
- Inicie sesión en su sitio de Tableau Cloud.
- Seleccione Configuración en el panel de navegación izquierdo.
- Seleccione la pestaña Seguridad.
1.Habilitar el cifrado de extracciones con un KMS externo
Para usar un KMS externo para el cifrado de credenciales de datos, habilite primero el KMS externo para el cifrado de extracciones.Consulte la sección “Detalles de configuración” de Usar un KMS externo para las claves de cifrado de extracciones.
2.Habilitar el cifrado de credenciales
Para habilitar el cifrado de credenciales:
- En la sección Cifrado de credenciales, seleccione Cifrar credenciales guardadas.
3.Generar una clave de datos
Para cifrar y descifrar las credenciales de datos guardadas, genere una clave de datos.
Para generar una clave de datos:
- En la sección Cifrado de credenciales, seleccione Generar clave de datos.
- En el cuadro de diálogo, seleccione Generar clave de datos.Tenga en cuenta que no puede generar más de una clave de datos en un periodo de siete días.Si el cuadro de diálogo no contiene el botón Generar clave de datos, significa que ha generado una clave de datos en los últimos siete días.
Tras su generación, el estado de la nueva clave es Activa, lo que significa que se utiliza para cifrar y descifrar credenciales de datos almacenadas.
Nota: Después de habilitar el cifrado y activar la primera clave en un sitio, Tableau Cloud crea trabajos de cifrado para todas las credenciales de datos en su sitio.Estos trabajos se ejecutan en segundo plano y se establecen con la prioridad más baja, lo que significa que se ejecutan solo cuando hay recursos adicionales.
Otras acciones
Archivar una clave
Las claves archivadas pueden descifrar las credenciales que cifraron, pero no se utilizan para cifrarlas.La única forma de archivar una clave es generando una nueva clave de datos.Consulte Generar una clave de datos.
Desactivar una clave
Desactive una clave archivada para inutilizarla para cifrar o descifrar credenciales almacenadas.Esto suele hacerse si la clave ya no es segura.La acción Desactivar clave solo está disponible en una clave archivada.
Al desactivar una clave, no se puede usar para descifrar las credenciales que cifró (a diferencia de una clave archivada, que puede descifrar las credenciales que cifró).
Nota: Puede restaurar una clave desactivada si es necesario.Al restaurar una clave, cambiará su valor de Desactivada a Archivada.Consulte Restaurar una clave.
Para desactivar una clave:
- En la sección Cifrado de credenciales, seleccione Acciones (...) junto a la clave archivada correspondiente.
- Seleccione Desactivar clave....
- Escriba “Desactivar esta clave” en el campo de texto para confirmar la acción.
- Seleccione Desactivar clave de datos.
Restaurar una clave
Restaure una clave desactivada para que se pueda utilizar para descifrar las credenciales que cifró.La acción Restaurar clave solo está disponible en una clave Desactivada y la cambia a Archivada.
Al restaurar una clave al estado archivado, no se usará para cifrar ninguna credencial.Solo se usa para descifrar las credenciales que escribió.
- En la sección Cifrado de credenciales, seleccione Acciones (...) junto a la clave Desactivada correspondiente.
- Seleccione Restaurar clave....
- Seleccione Restaurar clave de datos.
Eliminar una clave
No puede eliminar las claves de cifrado de credenciales.Una clave solo puede archivarse (lo que conserva la capacidad de descifrar las credenciales que escribió) o desactivarse (que no puede cifrar ni descifrar).Consulte Estados de las claves.
Nota: Si deshabilita la clave maestra de cliente (CMK) en AWS KMS, las claves de Tableau descendientes de él dejarán de funcionar para el cifrado o descifrado.Del mismo modo, si elimina la cláusula generada por Tableau de la directiva del CMK en AWS KMS, las claves de Tableau descendientes de ella dejarán de funcionar.