Vous pouvez stocker les clés principales que vous utilisez pour chiffrer et déchiffrer les extrait dans un système de gestion de clés (KMS) externe. En fournissant un contrôle direct des clés de chiffrement, l’utilisation d’un KMS externe peut aider les organisations à renforcer leur degré de sécurité, à respecter les exigences réglementaires et à préserver la souveraineté des données.

Pour obtenir des informations générales sur les avantages de l’utilisation d’un KMS externe pour la gestion des clés, consultez Utiliser un KMS externe pour la gestion des clés.

Remarque : La fonctionnalité KMS externe pour le chiffrement des extraits est disponible à compter de Tableau Cloud février 2026 si vous disposez de Tableau+, Tableau Enterprise ou Advanced Management. Si, à un moment donné, vous n’avez plus accès à Tableau+, Tableau Enterprise ni à Advanced Management, vos objets chiffrés continueront de fonctionner, mais vous ne pourrez plus gérer les clés.

Présentation de la configuration

Voici les principales étapes de l’utilisation de KMS AWS avec Tableau :

1. KMS AWS : Créez la clé principale client (CMK).
2. Tableau Cloud : Activez le chiffrement des extraits (ou migrez à partir des clés de chiffrement gérées par le client, qui utilisent le service KMS Salesforce).
3. Tableau Cloud : Générez une clé dans Tableau, en utilisant l’ARN de la clé principale client du KMS AWS.
4. KMS AWS : Ajoutez le JSON de la stratégie de clé de Tableau à la stratégie de la clé principale client d’AWS.
5. Tableau Cloud : Activez la clé.

Détails de la configuration

La configuration commence comme suit :

1. Connectez-vous à votre site Tableau Cloud.
2. Dans le volet de navigation de gauche, sélectionnez Paramètres.
3. Sélectionnez l’onglet Sécurité.

1. Créer une clé principale dans le KMS AWS

Les clés que Tableau utilise pour le chiffrement sont basées sur les clés principales client (CMK) qui existent dans le KMS AWS(Le lien s’ouvre dans une nouvelle fenêtre). Par conséquent, une CMK doit être présente dans le KMS AWS pour que Tableau puisse générer des clés.

La boîte de dialogue de génération des clés de Tableau contient un lien vers le KMS AWS(Le lien s’ouvre dans une nouvelle fenêtre) vous permettant de créer une CMK ou d’obtenir des informations sur une CMK existante. Si vous avez besoin d’aide avec les clés dans le KMS AWS, adressez-vous à votre expert local en matière de clés.

Les clés AWS sont identifiées de manière unique par un Amazon Resource Name (ARN). Vous serez invité à fournir l’ARN de la CMK pendant le processus de génération des clés Tableau. Les ARN des clés présentent le format suivant :

arn:aws:kms:us-east-2:123456789012:key/12345678-90ab-cdef-1234-567890abcdef

Une fois la clé principale client créée dans AWS, vous pouvez activer le chiffrement des extraits dans Tableau Cloud.

2. Activer le chiffrement des extraits avec un KMS externe

Remarque : Une fois le chiffrement activé, vous ne pouvez plus le désactiver. De même, le passage des clés de chiffrement gérées par le client (à l’aide du KMS de Salesforce) à un KMS externe est permanent et irréversible.

Pour activer un KMS externe :

1. Dans la section Chiffrement d’extrait, sélectionnez Chiffrer des extraits.
2. Sélectionnez Utiliser un KMS externe.
   • Si l’option Utiliser le KMS Salesforce est déjà cochée, vous utilisez actuellement des clés de chiffrement gérées par le client via le KMS Salesforce. (Pour plus d’informations, consultez Clés de chiffrement gérées par le client(Le lien s’ouvre dans une nouvelle fenêtre).) Si vous réglez plutôt le paramètre sur Utiliser un KMS externe, le KMS Salesforce passe irréversiblement à un KMS externe. Avant de modifier votre KMS, consultez Migrer des clés de chiffrement gérées par le client vers un KMS externe.
3. Sélectionnez Générer une clé.
   • Si vous migrez du KMS Salesforce vers un KMS externe, lisez l’avertissement, puis sélectionnez Basculer vers un KMS externe.

3. Générer une clé

La génération d’une clé constitue la première étape pour lire et écrire des extraits chiffrés. Si vous avez déjà une clé active, commencez par générer une autre clé en vue du remplacement de la clé actuelle.

Pour générer une clé dans Tableau :

1. Dans la section Chiffrement d’extraits, sélectionnez Générer une clé.
2. Si vous générez la première clé pour un site, la boîte de dialogue Configurer le KMS AWS s’affiche. Si vous avez déjà une clé active, confirmez d’abord l’opération via la boîte de dialogue Générer une clé.
3. Sélectionnez Lancer le KMS AWS et connectez-vous si nécessaire.
4. Dans le KMS AWS, créez une nouvelle clé ou trouvez une clé existante, puis copiez l’ARN de la clé. Si vous avez besoin d’aide avec les clés dans le KMS AWS, adressez-vous à votre expert local en matière de clés.
5. Retournez à la boîte de dialogue Configurer le KMS AWS de Tableau et collez l’ARN de la clé dans le champ ARN de la clé d’AWS.
6. Vous pouvez aussi entrer une Description.
7. Sélectionnez Suivant (ou Activer le chiffrement, s’il s’agit de la première clé pour le site).
8. Sélectionnez Terminé pour ajouter ultérieurement le JSON de la stratégie de clé du KMS AWS, ou suivez la procédure Ajouter le JSON de la stratégie de clé à la stratégie de clé du KMS pour le faire maintenant.

La clé ne peut pas être utilisée pour la lecture ni pour l’écriture des extraits tant que vous n’avez pas ajouté le JSON de la stratégie de clé à la stratégie du KMS AWS et que vous ne l’avez pas activée.

4. Ajouter le JSON de la stratégie de clé à la stratégie de clé du KMS

Une nouvelle clé générée affiche le statut En attente. Elle ne peut pas être utilisée pour la lecture ni pour l’écriture des extraits tant que vous n’avez pas ajouté le JSON de la stratégie de clé à la stratégie du KMS AWS et que vous ne l’avez pas activée.

Pour voir le JSON de la stratégie de clé, continuez à partir du processus Générer une clé.

Ou, si vous ne suivez pas ce processus :

1. Dans la section Chiffrement des extraits, sélectionnez les actions (...) à côté de la clé En attente concernée.
2. Sélectionnez Stratégie de clé.

Pour ajouter le JSON de la stratégie de clé à la stratégie du KMS AWS, copiez l’objet Statement concerné depuis Tableau et collez-le dans le JSON de la stratégie du KMS AWS. Vous n’avez besoin que d’une partie du texte JSON complet. Retenez qu’il peut être plus facile de sélectionner Copier la stratégie de clé pour la coller et la modifier dans un éditeur de texte.

À partir du texte JSON, copiez l’objet dans le tableau Statement. Collez ensuite le texte copié dans le tableau Statement de la stratégie de clé du KMS AWS, en respectant la syntaxe JSON standard. (Vous devrez peut-être ajouter une virgule à la fin du tableau Statement du KMS AWS existant avant d’ajouter le nouveau JSON.)

{
    "Version": "2012-10-17",
    "Id": "sfdc-key-access-policy",
    "Statement": [
        {
            "Sid": "AllowSalesforceShieldKeyBroker1234567890abc",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:sts::123456789abc:assumed-role/EkmAwsKmsAccessRole/1234567890abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ12"
            },
            "Action": [
                "kms:GenerateDataKey*",
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:sf-auth": "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQ"
                }
            }
        }
    ]
}

5. Activer une clé

Activez une clé pour l’utiliser lors de la lecture et de l’écriture de nouveaux extraits. L’action Activer une clé n’est disponible que pour une clé En attente.

1. Dans la section Chiffrement des extraits, sélectionnez les actions (...) à côté de la clé En attente concernée.
2. Sélectionnez Activer une clé....

Si vous avez déjà une clé active, l’activation d’une nouvelle clé change le statut de la clé existante à Archivée. Une clé archivée est uniquement utilisée pour la lecture des extraits qu’elle a générés. La nouvelle clé deviendra Active et sera utilisée pour l’écriture de nouveaux extraits et pour la lecture des extraits qu’elle a générés.

Remarque : Suite à l’activation du chiffrement et de la première clé sur un site, Tableau Cloud crée une tâche en arrière-plan de chiffrement d’extrait pour chaque extrait sur votre site. Ces tâches disposent de la priorité la plus basse, ce qui signifie qu’elles s’exécutent uniquement en cas de ressources supplémentaires. Les tâches d’actualisation d’extrait existantes s’exécutent avant le chiffrement des extraits.

Autres actions

Archiver une clé

Les clés archivées peuvent lire les extraits qu’elles ont générés, mais ne sont pas utilisées pour l’écriture de nouveaux extraits. La seule façon d’archiver une clé est d’en activer une nouvelle. Consultez Activer une clé.

Désactiver une clé

La désactivation d’une clé archivée la rend inutilisable pour la lecture et pour l’écriture de tout extrait. Vous pourriez effectuer cette opération si la clé a été compromise. L’action Désactiver une clé n’est disponible que pour une clé Archivée.

Lorsque vous désactivez une clé, elle ne peut pas être utilisée pour la lecture des extraits qu’elle a générés (contrairement à une clé archivée qui peut lire les extraits qu’elle a générés). Cela signifie que certains contenus basés sur les extraits peuvent devenir inaccessibles si leur chiffrement n’a pas été réalisé avec une clé active. Pour conserver l’accès aux contenus basés sur les extraits qui utilisent l’ancienne clé, prenez soin d’actualiser les extraits avec une clé active avant de désactiver l’ancienne clé.

Remarque : Vous pouvez restaurer une clé désactivée, si nécessaire. La restauration d’une clé la fera passer de Désactivée à Archivée. Consultez Restaurer une clé.

Pour désactiver une clé :

1. Dans la section Chiffrement des extraits, sélectionnez les actions (...) à côté de la clé Archivée concernée.
2. Sélectionnez Désactiver une clé....
3. Entrez « Désactiver cette clé » dans le champ de texte pour confirmer votre action.
4. Sélectionnez Désactiver une clé.

Restaurer une clé

La restauration d’une clé désactivée permet de l’utiliser pour la lecture des extraits qu’elle a générés. L’action Restaurer une clé n’est disponible que pour une clé Désactivée et la fait passer au statut Archivée.

Si vous restaurez une clé au statut archivé, elle ne sera pas utilisée pour l’écriture des extraits. Elle sera uniquement utilisée pour la lecture des extraits qu’elle a générés.

1. Connectez-vous à votre site Tableau Cloud.
2. Dans le volet de navigation de gauche, sélectionnez Paramètres.
3. Sélectionnez l’onglet Sécurité.
4. Dans la section Chiffrement des extraits, sélectionnez les actions (...) à côté de la clé Désactivée concernée.
5. Sélectionnez Restaurer une clé....
6. Sélectionnez Restaurer une clé.

Supprimer une clé

Vous ne pouvez pas supprimer les clés de chiffrement des extraits. Une clé peut uniquement être archivée (maintien de sa capacité à lire le contenu qu’elle a généré) ou désactivée (aucun accès en lecture ou en écriture). Consultez Statuts des clés.

Remarque : Si vous désactivez la clé principale client (CMK) dans le KMS AWS, les clés Tableau générées à partir de la CMK ne pourront plus être utilisées pour le chiffrement ou le déchiffrement. De même, si vous supprimez la clause générée par Tableau de la stratégie de la clé CMK dans le KMS AWS, les clés Tableau générées à partir de cette clé cesseront de fonctionner.

Consulter la stratégie de clé

La boîte de dialogue Stratégie de clé affiche le JSON de la stratégie de clé qui sera ajouté à la stratégie de clé du KMS AWS. Le JSON de la stratégie de clé peut être ajouté pendant le processus Générer une clé ou ultérieurement.

Pour plus d’informations, consultez Ajouter le JSON de la stratégie de clé à la stratégie de clé du KMS.

Pour consulter le JSON de la stratégie de clé :

1. Dans la section Chiffrement des extraits, sélectionnez les actions (...) à côté de la clé concernée.
2. Sélectionnez Stratégie de clé.

Consulter l’historique d’une clé

Chaque ligne de la table d’historique des clés affiche un événement, le statut de la clé après l’événement, ainsi que la date et l’heure de l’événement.

Pour afficher l’historique d’une clé :

1. Dans la section Chiffrement des extraits, sélectionnez les actions (...) à côté de la clé concernée.
2. Sélectionnez Historique d’une clé.

Tester la configuration

Utilisez l’action Tester la configuration sur une clé en attente pour déterminer si elle peut être activée. Utilisez l’action Tester la configuration sur les clés ayant d’autres statuts pour déterminer si elles fonctionnent, devraient fonctionner ou ne fonctionneront pas.

Pour tester la configuration d’une clé :

1. Dans la section Chiffrement des extraits, sélectionnez les actions (...) à côté de la clé concernée.
2. Sélectionnez Tester la configuration....

Réussite :

• La clé peut être utilisée pour le chiffrement d’extraits. Si le statut de la clé est En attente, vous pouvez l’activer en toute sécurité. Si la clé est déjà active, elle fonctionne.

Erreurs :

• POLICY_DENIED : le KMS externe n’a pas de stratégie qui autorise cette clé. Vérifiez que vous avez copié la stratégie de cette clé vers le KMS externe.
• KEY_NOT_FOUND : la clé est introuvable ou désactivée dans Tableau. Confirmez l’ARN et la stratégie de clé du KMS AWS.
• UNKNOWN : une erreur inconnue s’est produite. Vérifiez que la clé n’est pas désactivée dans le KMS AWS et réessayez.

Remarque : Si vous désactivez la clé principale client (CMK) dans le KMS AWS, les clés Tableau générées à partir de la CMK ne pourront plus être utilisées pour le chiffrement ou le déchiffrement. De même, si vous supprimez la clause générée par Tableau de la stratégie de la clé CMK dans le KMS AWS, les clés Tableau générées à partir de cette clé cesseront de fonctionner.