Vous pouvez stocker les clés principales que vous utilisez pour crypter et décrypter les extraits dans un système de gestion de clés externe (KMS).En fournissant un contrôle direct sur les clés de cryptage, un KMS externe peut aider à améliorer la posture de sécurité des organisations, à répondre aux exigences réglementaires et à préserver la souveraineté des données.

Pour des informations générales sur les avantages de l’utilisation d’un KMS externe pour la gestion des clés, consultez Utilisation d’un KMS externe pour la gestion des clés.

Remarque : la fonctionnalité KMS externe pour le cryptage des extraits est disponible à partir de Tableau Cloud de février 2026 si vous utilisez Tableau+, Tableau Enterprise ou Advanced Management.Si, à un moment donné, vous n’avez plus Tableau+, Tableau Enterprise ou Advanced Management, l’utilisation de vos objets cryptés continuera de fonctionner, mais vous ne pourrez pas gérer les clés.

Vue d’ensemble de l’installation

Voici les étapes récapitulatives d’utilisation d’AWS KMS avec Tableau :

1. AWS KMS : Créer la clé client principale (CMK).
2. Tableau Cloud : Activer le cryptage d’extrait (ou migrer depuis les clés de cryptage gérées par le client, qui utilisent le service KMS de Salesforce).
3. Tableau Cloud : Générer une clé dans Tableau, à l’aide de l’ARN de la clé client principale à partir d’AWS KMS.
4. AWS KMS : Ajouter le fichier JSON de politique de clés Tableau à la politique de clé client principale AWS.
5. Tableau Cloud : Activer la clé.

Détails de la configuration

La configuration commence par ces étapes :

1. Connectez-vous à votre site Tableau Cloud.
2. Sélectionnez Paramètres dans le volet de navigation de gauche.
3. Sélectionnez l’onglet Sécurité.

1.Créer une clé principale dans AWS KMS

Les clés que Tableau utilise pour le cryptage sont basées sur les clés client principales (CMK) qui existent dans AWS KMS(Le lien s’ouvre dans une nouvelle fenêtre).Par conséquent, vous devez avoir une clé CMK dans AWS KMS pour que Tableau puisse générer des clés.

La boîte de dialogue de génération de clés Tableau contient un lien vers AWS KMS(Le lien s’ouvre dans une nouvelle fenêtre) afin de créer une CMK ou d’obtenir des informations sur une clé existante.Si vous avez besoin d’aide concernant les clés dans AWS KMS, adressez-vous à votre expert en clés local.

Les clés AWS sont identifiées de manière unique par un Amazon Resource Name (ARN).Il vous est demandé de fournir l’ARN CMK pendant le processus de génération de clés Tableau.Les ARN clés se présentent sous le format suivant :

arn:aws:kms:us-east-2:123456789012:key/12345678-90ab-cdef-1234-567890abcdef

Une fois la clé client principale créée dans AWS, vous pouvez activer le cryptage des extraits dans Tableau Cloud.

2.Activer le cryptage d’extrait avec un KMS externe

Remarque : une fois que vous avez activé le cryptage, vous ne pouvez pas le désactiver.De même, basculer depuis des clés de cryptage gérées par le client (à l’aide du service KMS de Salesforce) vers un système de gestion KMS externe est définitif et ne peut être annulé.

Pour activer un KMS externe :

1. Dans la section Cryptage d’extrait, sélectionnez Crypter les extraits.
2. Sélectionnez Utiliser un KMS externe.
   • Si l’option Utiliser Salesforce KMS est déjà cochée, vous utilisez actuellement des clés de cryptage gérées par le client via Salesforce KMS.(Pour plus d’informations, consultez Clés de cryptage gérées par le client(Le lien s’ouvre dans une nouvelle fenêtre).)Si vous modifiez le paramètre sur Utiliser un KMS externe, Salesforce KMS passe de manière irréversible à un KMS externe.Avant de modifier votre KMS, consultez Migrer des clés de cryptage gérées par le client vers un KMS externe.
3. Sélectionnez Générer une clé.
   • Si vous migrez de Salesforce KMS vers un KMS externe, lisez l’avertissement, puis sélectionnez Basculer sur un KMS externe.

3.Générer une clé

La génération d’une clé est la première étape vers la lecture et l’écriture d’extraits cryptés.Si vous possédez déjà une clé active, vous générez une autre clé comme première étape vers le remplacement de la clé actuellement active.

Pour générer une clé dans Tableau :

1. Dans la section Cryptage d’extrait, sélectionnez Générer une clé.
2. Si vous générez la première clé pour un site, vous voyez s’afficher la boîte de dialogue Configurer AWS KMS.Si vous avez déjà une clé active, commencez par la boîte de dialogue de confirmation Générer une clé.
3. Sélectionnez Lancer AWS KMS et connectez-vous si nécessaire.
4. Dans AWS KMS, créez une nouvelle clé ou trouvez une clé existante, puis copiez l’ARN de la clé.Si vous avez besoin d’aide concernant les clés dans AWS KMS, adressez-vous à votre expert en clés local.
5. Revenez à la boîte de dialogue Configurer AWS KMS de Tableau et collez l’ARN de la clé dans le champ ARN de la clé d’AWS.
6. Vous pouvez aussi entrer une Description.
7. Sélectionnez Suivant (ou Activer le cryptage, s’il s’agit de la première clé pour le site).
8. Sélectionnez Terminé pour ajouter ultérieurement la politique de clés JSON à AWS KMS, ou suivez Ajouter le fichier JSON de politique de clés à la politique de clés KMS pour le faire maintenant.

Pour que la clé puisse être utilisée pour lire ou écrire des extraits, vous devez ajouter le fichier JSON de politique de clés à la politique AWS KMS, puis l’activer.

4.Ajouter le fichier JSON de politique de clés à la politique de clés KMS

Une clé nouvellement générée a le statut En attente.Pour qu’elle puisse être utilisée à des fins de lecture ou d’écriture d’extraits, vous devez ajouter le fichier JSON de politique de clés à la politique AWS KMS, puis l’activer.

Pour voir le fichier JSON de politique de clés, continuez à partir du processus Générer une clé.

Ou, si vous ne poursuivez pas à partir de ce processus :

1. Dans la section Cryptage d’extrait, sélectionnez le menu Actions (...) à côté de la clé en attente appropriée.
2. Sélectionnez Politique de clés.

Pour ajouter le fichier JSON de politique de clés à la politique AWS KMS, copiez l’objet Statement approprié depuis Tableau vers le fichier JSON de politique dans AWS KMS.Vous n’avez besoin que d’une partie du texte JSON complet.Gardez à l’esprit qu’il peut être plus facile de sélectionner Copier la politique de clés pour la coller et la modifier dans un éditeur de texte.

À partir du texte JSON, copiez l’objet dans le tableau Statement.Ensuite, dans la politique de clés AWS KMS, ajoutez le texte copié au tableau Statement, en suivant la syntaxe JSON standard.(Vous devrez probablement ajouter une virgule à la fin du tableau Statement d’AWS KMS existant avant d’ajouter le nouveau JSON.)

{
    "Version": "2012-10-17",
    "Id": "sfdc-key-access-policy",
    "Statement": [
{
            "Sid": "AllowSalesforceShieldKeyBroker1234567890abc",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:sts::123456789abc:assumed-role/EkmAwsKmsAccessRole/1234567890abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ12"
            },
            "Action": [
                "kms:GenerateDataKey*",
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:sf-auth": "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQ"
                }
            }
        }
]
}

5.Activer une clé

Activez une clé pour l’utiliser lors de la lecture et de l’écriture de nouveaux extraits.L’action Activer la clé n’est disponible que pour une clé en attente.

1. Dans la section Cryptage d’extrait, sélectionnez le menu Actions (...) à côté de la clé en attente appropriée.
2. Sélectionnez Activer la clé....

Si vous possédez déjà une clé active, l’activation d’une nouvelle clé fait passer la clé existante au statut Archivé.Une clé archivée sert uniquement à lire les extraits qu’elle a écrits.La nouvelle clé deviendra activeet sera utilisée pour écrire de nouveaux extraits et lire les extraits qu’elle a écrits.

Remarque : une fois que vous avez activé le cryptage et activé la première clé sur un site, Tableau Cloud crée une tâche en arrière-plan de cryptage d’extrait pour chaque extrait de votre site.Ces travaux sont définis sur la priorité la plus faible, ce qui signifie qu’ils ne s’exécutent que lorsqu’il y a des ressources supplémentaires.Les tâches d’actualisation d’extraits existantes s’exécutent avant le cryptage des extraits.

Autres actions

Archiver une clé

Les clés archivées peuvent lire les extraits qu’elles ont écrits, mais ne sont pas utilisées pour écrire de nouveaux extraits.La seule façon d’archiver une clé est d’activer une nouvelle clé.Consultez Activer une clé.

Désactiver une clé

Vous pouvez désactiver une clé archivée pour la rendre inutilisable pour la lecture ou l’écriture d’extraits.Vous pouvez procéder ainsi si la clé a été compromise.L’action Désactiver la clé n’est disponible que pour une clé archivée.

Lorsque vous désactivez une clé, elle ne peut pas être utilisée pour lire les extraits qu’elle a écrits (à la différence d’une clé archivée qui peut lire les extraits qu’elle a écrits).Cela signifie que certains contenus basés sur des extraits pourraient cesser de fonctionner s’ils n’ont pas été cryptés avec une clé active.Si vous avez besoin de conserver l’accès à un contenu basé sur des extraits qui utilise l’ancienne clé, assurez-vous que les extraits sont actualisés avec une clé active avant de désactiver l’ancienne.

Remarque : vous pouvez restaurer une clé désactivée si nécessaire.La restauration d’une clé la fera passer du statut Désactivé à Archivé.Consultez Restaurer une clé.

Pour désactiver une clé :

1. Dans la section Cryptage d’extrait, sélectionnez le menu Actions (...) à côté de la clé archivée appropriée.
2. Sélectionnez Désactiver la clé....
3. Saisissez « Désactiver cette clé » dans le champ de texte pour confirmer votre action.
4. Sélectionnez Désactiver la clé.

Restaurer une clé

Vous pouvez restaurer une clé désactivée afin de la rendre utilisable pour la lecture des extraits qu’elle a écrits.L’action Restaurer la clé n’est disponible que pour une clé désactivée et la transforme en clé archivée.

Lorsque vous restaurez une clé vers le statut Archivé, elle n’est pas utilisable pour écrire des extraits.Elle sert uniquement à lire les extraits qu’elle a écrits.

1. Connectez-vous à votre site Tableau Cloud.
2. Sélectionnez Paramètres dans le volet de navigation de gauche.
3. Sélectionnez l’onglet Sécurité.
4. Dans la section Cryptage d’extrait, sélectionnez le menu Actions (...) à côté de la clé désactivée appropriée.
5. Sélectionnez Restaurer la clé....
6. Sélectionnez Restaurer la clé.

Supprimer une clé

Vous ne pouvez pas supprimer les clés de cryptage d’extrait.Une clé ne peut être qu’archivée (en conservant la capacité de lire le contenu qu’elle a écrit) ou désactivée (elle ne peut ni lire ni écrire).Consultez Statuts des clés.

Remarque : si vous désactivez la clé client principale (CMK) dans AWS KMS, les clés Tableau qui en sont issues cessent de fonctionner pour le cryptage ou le décryptage.De même, si vous supprimez la clause générée par Tableau de la stratégie de CMK dans AWS KMS, les clés Tableau qui en sont issues cessent de fonctionner.

Consulter la politique de clés

La boîte de dialogue Politique de clés affiche le fichier JSON de politique de clés à ajouter à la politique de clés AWS KMS.Le fichier JSON de politique de clés peut être ajouté pendant le processus de génération d’une clé, ou ultérieurement.

Pour plus d’informations, consultez Ajouter un fichier JSON de politique de clés à la politique de clés KMS.

Pour voir le fichier JSON de politique de clés :

1. Dans la section Cryptage d’extrait, sélectionnez le menu Actions (...) à côté de la clé appropriée.
2. Sélectionnez Politique de clés.

Consulter l’historique des clés

Chaque ligne de la table d’historique des clés affiche un événement, le statut de la clé après l’événement, ainsi que la date et l’heure de l’événement.

Pour consulter l’historique d’une clé :

1. Dans la section Cryptage d’extrait, sélectionnez le menu Actions (...) à côté de la clé appropriée.
2. Sélectionnez Historique des clés.

Tester la configuration

Utilisez l’action Tester la configuration sur une clé en attente pour déterminer si elle peut être activée.Utilisez l’action Tester la configuration sur les clés affichant d’autres statuts pour indiquer si elles fonctionnent, devraient fonctionner ou ne fonctionneront pas.

Pour tester la configuration d’une clé :

1. Dans la section Cryptage d’extrait, sélectionnez le menu Actions (...) à côté de la clé appropriée.
2. Sélectionnez Tester la configuration....

Réussite :

• La clé peut être utilisée pour crypter des extraits.Si la clé est en attente, vous pouvez l’activer en toute sécurité.Si la clé est déjà active, c’est qu’elle fonctionne.

Erreurs :

• POLICY_DENIED : le KMS externe n’a pas de politique autorisant cette clé.Vérifiez que vous avez copié la politique de cette clé dans le KMS externe.
• KEY_NOT_FOUND : la clé est introuvable ou désactivée dans Tableau.Confirmez l’ARN et la politique de clés AWS KMS.
• UNKNOWN : une erreur inconnue s’est produite.Assurez-vous que la clé n’est pas désactivée dans AWS KMS et réessayez.

Remarque : si vous désactivez la clé client principale (CMK) dans AWS KMS, les clés Tableau qui en sont issues cessent de fonctionner pour le cryptage ou le décryptage.De même, si vous supprimez la clause générée par Tableau de la stratégie de CMK dans AWS KMS, les clés Tableau qui en sont issues cessent de fonctionner.