Puede almacenar las claves maestras que utiliza para cifrar y descifrar extracciones en un sistema de administración de claves (KMS) externo.Al proporcionar un control directo sobre las claves de cifrado, el uso de un KMS externo puede ayudar a mejorar la postura de seguridad para las organizaciones, cumplir con los mandatos regulatorios y mantener la soberanía de los datos.

Para obtener información general sobre las ventajas de usar un KMS externo para la administración de claves, consulte Usar un KMS externo para la administración de claves.

Nota: La funcionalidad de KMS externo para el cifrado de extracciones está disponible a partir de Tableau Cloud de febrero de 2026 si tiene Tableau +, Tableau Enterprise o Advanced Management.Si en algún momento ya no tiene Tableau+, Tableau Enterprise o Advanced Management, trabajar con sus objetos cifrados seguirá funcionando, pero no podrá administrar claves.

Descripción general de la configuración

Los pasos a nivel de resumen para usar AWS KMS con Tableau son los siguientes:

1. AWS KMS: Cree la clave maestra de cliente (CMK).
2. Tableau Cloud: Habilite el cifrado de extracciones (o migre desde claves de cifrado administradas por el cliente, que utilizan el KMS de Salesforce).
3. Tableau Cloud: Genere una clave en Tableau mediante el ARN de la clave maestra de cliente de AWS KMS.
4. AWS KMS: Agregue el JSON de la directiva de claves de Tableau a la directiva de la clave maestra del cliente de AWS.
5. Tableau Cloud: Active la clave.

Detalles de configuración

La configuración comienza con:

1. Inicie sesión en su sitio de Tableau Cloud.
2. Seleccione Configuración en el panel de navegación izquierdo.
3. Seleccione la pestaña Seguridad.

1.Crear una clave maestra en AWS KMS

Las claves que utiliza Tableau para el cifrado se basan en las claves maestras de cliente (CMK) que existen en AWS KMS(El enlace se abre en una ventana nueva).Por tanto, necesita una CMK en AWS KMS antes de que Tableau pueda generar claves.

El cuadro de diálogo de generación de claves de Tableau contiene un enlace al AWS KMS(El enlace se abre en una ventana nueva) para que pueda crear una CMK u obtener información sobre una que ya exista.Si necesita ayuda con las claves en AWS KMS, consulte con su experto en claves local.

Las claves de AWS se identifican de forma única mediante un nombre de recurso de Amazon (ARN).Se le solicitará que proporcione el ARN de CMK durante el proceso de generación de claves de Tableau.Los ARN clave tienen el formato siguiente:

arn:aws:kms:us-east-2:123456789012:key/12345678-90ab-cdef-1234-567890abcdef

Una vez creada la clave maestra de cliente en AWS, puede habilitar el cifrado de extracciones en Tableau Cloud.

2.Habilitar el cifrado de extracciones con un KMS externo

Nota: Una vez que habilita el cifrado, no puede deshabilitarlo.Del mismo modo, el cambio de claves de cifrado administradas por el cliente (mediante el KMS de Salesforce) a un KMS externo es permanente y no se puede deshacer.

Para habilitar un KMS externo:

1. En la sección Cifrado de extracciones, seleccione Cifrar extracciones.
2. Seleccione Usar un KMS externo.
   • Si la opción Usar el KMS de Salesforce ya está seleccionada, actualmente usa claves de cifrado administradas por el cliente a través del KMS de Salesforce.(Para obtener más información, consulte Claves de cifrado administradas por el cliente(El enlace se abre en una ventana nueva)).Cambiar la configuración a Usar un KMS externo cambiará irreversiblemente del KMS de Salesforce a un KMS externo.Antes de cambiar su KMS, consulte Migrar de claves de cifrado administradas por el cliente a KMS externo.
3. Seleccione Generar clave.
   • Si migra del KMS de Salesforce a un KMS externo, lea la advertencia y luego seleccione Cambiar a KMS externo.

3.Generar una clave

Generar una clave es el primer paso para leer y escribir extracciones cifradas.Si ya tiene una clave activa, genere otra clave como primer paso para reemplazar la clave activa actualmente.

Para generar una clave en Tableau:

1. En la sección Cifrado de extracciones, seleccione Generar clave.
2. Si está generando la primera clave para un sitio, verá el cuadro de diálogo Configurar AWS KMS.Si ya tiene una clave activa, continúe primero con el cuadro de diálogo de confirmación Generar clave.
3. Seleccione Iniciar AWS KMS e inicie sesión si es necesario.
4. En AWS KMS, cree una nueva clave o busque una existente, luego copie el ARN de la clave.Si necesita ayuda con las claves en AWS KMS, consulte con su experto en claves local.
5. Vuelva al cuadro de diálogo Configurar AWS KMS de Tableau y pegue el ARN de la clave en el campo ARN de la clave de AWS.
6. Opcionalmente, introduzca una Descripción.
7. Seleccione Siguiente (o Habilitar cifrado, si esta es la primera clave para el sitio).
8. Seleccione Listo para agregar el JSON de directiva de claves a AWS KMS más adelante, o siga los pasos de Agregar directiva de claves JSON a la directiva de claves de KMS para hacerlo ahora.

La clave no se puede utilizar para leer ni escribir extracciones hasta que agregue la directiva de claves JSON a la directiva de AWS KMS y, a continuación, la active.

4.Agregar directiva de claves JSON a la directiva de claves de KMS

Una clave recién generada tiene el estado Pendiente.No se puede utilizar para leer ni escribir extracciones hasta que agregue la directiva de claves JSON a la directiva de AWS KMS y, a continuación, la active.

Para ver el JSON de directiva de claves, continúe desde el proceso Generar una clave.

O, si no va a continuar a partir de ese proceso:

1. En la sección Cifrado de extracciones, seleccione el menú de acciones (...) junto a la clave Pendiente correspondiente.
2. Seleccione Directiva de claves.

Para agregar el JSON de directiva de claves a la directiva de AWS KMS, copie el objeto Statement relevante de Tableau al JSON de directiva en AWS KMS.Solo necesita una parte del texto JSON completo.Tenga en cuenta que seleccionar Copiar directiva de claves para pegar y editar en un editor de texto puede ser más fácil.

Desde el texto JSON, copie el objeto en la matriz Statement.A continuación, en la directiva de la clave AWS KMS, agregue el texto copiado a la matriz Statement, siguiendo la sintaxis JSON estándar.(Es probable que tenga que añadir una coma al final de la matriz Statement de AWS KMS existente antes de añadir el nuevo JSON).

{
    "Version": "2012-10-17",
    "Id": "sfdc-key-access-policy",
    "Statement": [
{
            "Sid": "AllowSalesforceShieldKeyBroker1234567890abc",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:sts::123456789abc:assumed-role/EkmAwsKmsAccessRole/1234567890abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ12"
            },
            "Action": [
                "kms:GenerateDataKey*",
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:sf-auth": "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQ"
                }
            }
        }
]
}

5.Activar una clave

Active una clave para usarla para leer y escribir nuevas extracciones.La acción Activar clave solo está disponible en una clave Pendiente.

1. En la sección Cifrado de extracciones, seleccione el menú de acciones (...) junto a la clave Pendiente correspondiente.
2. Seleccione Activar clave....

Si ya tiene una clave activa, al activar una nueva clave se cambia el estado de la clave existente a Archivada.Una clave archivada solo se utiliza para leer extractos que escribió.La nueva clave se activará y se usará para escribir nuevas extracciones y leer las extracciones que escribió.

Nota: Después de habilitar el cifrado y activar la primera clave en un sitio, Tableau Cloud crea un trabajo en segundo plano de cifrado de extracciones para cada extracción en su sitio.Estos trabajos se establecen con la prioridad más baja, lo que significa que se ejecutan solo cuando hay recursos adicionales.Los trabajos de actualización de extracciones existentes se ejecutan antes de que las extracciones se cifren.

Otras acciones

Archivar una clave

Las claves archivadas pueden leer las extracciones que escribieron, pero no se utilizan para escribir nuevas extracciones.La única forma de archivar una clave es activando una nueva clave.Consulte Activar una clave.

Desactivar una clave

Desactiva una clave archivada para inutilizarla para leer o escribir extracciones.Esto suele hacerse si la clave ya no es segura.La acción Desactivar clave solo está disponible en una clave archivada.

Al desactivar una clave, no se puede usar para leer las extracciones que escribió (a diferencia de una clave archivada, que puede leer las extracciones que escribió).Esto significa que parte del contenido basado en extracciones podría dejar de funcionar si no se ha cifrado con una clave activa.Si necesita conservar el acceso a contenido basado en extracciones que utiliza la clave anterior, asegúrese de que las extracciones se actualizan con una clave activa antes de desactivar la antigua.

Nota: Puede restaurar una clave desactivada si es necesario.Al restaurar una clave, cambiará su valor de Desactivada a Archivada.Consulte Restaurar una clave.

Para desactivar una clave:

1. En la sección Cifrado de extracciones, seleccione el menú Acciones (...) junto a la clave archivada correspondiente.
2. Seleccione Desactivar clave....
3. Escriba “Desactivar esta clave” en el campo de texto para confirmar la acción.
4. Seleccione Desactivar clave.

Restaurar una clave

Restaurar una clave desactivada para que se pueda utilizar para leer las extracciones que escribió.La acción Restaurar clave solo está disponible en una clave Desactivada y la cambia a Archivada.

Al restaurar una clave al estado archivado, no se usará para escribir ninguna extracción.Solo se usa para leer las extracciones que escribió.

1. Inicie sesión en su sitio de Tableau Cloud.
2. Seleccione Configuración en el panel de navegación izquierdo.
3. Seleccione la pestaña Seguridad.
4. En la sección Cifrado de extracciones, seleccione Acciones (...) junto a la clave Desactivada correspondiente.
5. Seleccione Restaurar clave....
6. Seleccione Restaurar clave.

Eliminar una clave

No puede eliminar las claves de cifrado de extracciones.Una clave solo puede archivarse (lo que conserva la capacidad de leer el contenido que escribió) o desactivar (que no puede leer ni escribir).Consulte Estados de las claves.

Nota: Si deshabilita la clave maestra de cliente (CMK) en AWS KMS, las claves de Tableau descendientes de él dejarán de funcionar para el cifrado o descifrado.Del mismo modo, si elimina la cláusula generada por Tableau de la directiva del CMK en AWS KMS, las claves de Tableau descendientes de ella dejarán de funcionar.

Consultar la directiva de claves

El cuadro de diálogo Directiva de claves muestra el JSON de directiva clave para agregar a la directiva de la clave AWS KMS.El JSON de directiva de claves se puede agregar durante el proceso Generar una clave o más adelante.

Para obtener más información, consulte Agregar directiva de claves JSON a Directiva de claves de KMS.

Para ver el JSON de directiva de claves:

1. En la sección Cifrado de extracciones, seleccione acciones (...) junto a la clave adecuada.
2. Seleccione Directiva de claves.

Consultar el historial de claves

Cada fila de la tabla de historial de claves muestra un evento, el estado de la clave después del evento y la fecha y hora del evento.

Para ver el historial de una clave:

1. En la sección Cifrado de extracciones, seleccione acciones (...) junto a la clave adecuada.
2. Seleccione Historial de claves.

Probar la configuración

Utilice la acción Probar configuración en una clave pendiente para determinar si se puede activar.Use la acción Probar configuración en claves con otros estados para ver si funcionan, deberían funcionar o no.

Para probar la configuración de una clave:

1. En la sección Cifrado de extracciones, seleccione acciones (...) junto a la clave adecuada.
2. Seleccione Probar configuración...

Éxito:

• La clave se puede utilizar para cifrar extracciones.Si la clave está pendiente, puede activarla de forma segura.Si la clave ya está activa, está funcionando.

Errores:

• POLICY_DENIED: el KMS externo no tiene una política que permita esta clave.Confirme que ha copiado la directiva de esta clave en el KMS externo.
• KEY_NOT_FOUND: no se encontró la clave o la clave está desactivada en Tableau.Confirme el ARN y la directiva de la clave de AWS KMS.
• UNKNOWN: se ha producido un error desconocido.Asegúrese de que la clave no esté desactivada en AWS KMS y vuelva a intentarlo.

Nota: Si deshabilita la clave maestra de cliente (CMK) en AWS KMS, las claves de Tableau descendientes de él dejarán de funcionar para el cifrado o descifrado.Del mismo modo, si elimina la cláusula generada por Tableau de la directiva del CMK en AWS KMS, las claves de Tableau descendientes de ella dejarán de funcionar.