Puoi archiviare le chiavi primarie che utilizzi per crittografare e decrittografare le estrazioni in un servizio di gestione delle chiavi esterno (KMS).Grazie al controllo diretto sulle chiavi di crittografia, l’utilizzo di un servizio KMS esterno può contribuire a migliorare le condizioni di sicurezza delle organizzazioni, soddisfare i requisiti normativi e mantenere la sovranità dei dati.

Per informazioni di carattere generale sui vantaggi associati all’utilizzo di un servizio KMS esterno per la gestione delle chiavi, consulta Utilizzare un servizio KMS esterno per la gestione delle chiavi.

Nota: la funzionalità del servizio KMS esterno per la crittografia delle estrazioni è disponibile a partire dalla versione di Tableau Cloud rilasciata a febbraio 2026 se disponi di Tableau+, Tableau Enterprise o Advanced Management.Se a un certo punto non disponi più di Tableau+, Tableau Enterprise o Advanced Management, potrai continuare a lavorare con gli oggetti crittografati, ma non sarai in grado di gestire le chiavi.

Panoramica della configurazione

A livello generale, le fasi per utilizzare il servizio AWS KMS con Tableau sono:

1. Nel servizio AWS KMS: crea la chiave CMK (Customer Master Key).
2. In Tableau Cloud: abilita la crittografia delle estrazioni (o esegui la migrazione dalle chiavi di crittografia gestite dal cliente, per cui viene utilizzato Salesforce KMS).
3. In Tableau Cloud: genera una chiave in Tableau utilizzando l’ARN della chiave CMK del servizio AWS KMS.
4. In AWS KMS: aggiungi il criterio della chiave di Tableau in formato JSON al criterio della chiave CMK AWS.
5. In Tableau Cloud: attiva la chiave.

Dettagli sulla configurazione

Per avviare la configurazione:

1. Accedi al sito Tableau Cloud.
2. Seleziona Impostazioni nel riquadro di navigazione a sinistra.
3. Seleziona la scheda Sicurezza.

1.Creare una chiave primaria nel servizio AWS KMS

Le chiavi utilizzate da Tableau per la crittografia si basano sulle chiavi CMK presenti in AWS KMS(Il collegamento viene aperto in una nuova finestra).Pertanto, perché Tableau possa generare le chiavi, devi disporre di una chiave CMK nel servizio AWS KMS.

La finestra di dialogo per la generazione delle chiavi di Tableau contiene un collegamento al servizio AWS KMS(Il collegamento viene aperto in una nuova finestra) per consentirti di creare una chiave CMK o di ottenere informazioni su una chiave già esistente.Se hai bisogno di aiuto con le chiavi nel servizio AWS KMS, rivolgiti all’esperto di chiavi della tua sede.

Le chiavi di AWS sono identificate in modo univoco da un nome ARN (Amazon Resource Name).Durante il processo di generazione delle chiavi di Tableau ti viene chiesto di fornire l’ARN della chiave CMK.Il formato dei nomi ARN delle chiavi è il seguente:

arn:aws:kms:us-east-2:123456789012:key/12345678-90ab-cdef-1234-567890abcdef

Dopo aver creato la chiave CMK in AWS, puoi abilitare la crittografia delle estrazioni in Tableau Cloud.

2.Abilitare la crittografia delle estrazioni con un servizio KMS esterno

Nota: una volta abilitata la crittografia, non potrai disabilitarla.Analogamente, il passaggio da chiavi di crittografia gestite dal cliente (tramite il servizio Salesforce KMS) a un servizio KMS esterno è permanente e non può essere annullato.

Per abilitare un servizio KMS esterno:

1. Nella sezione Crittografia dell’estrazione, seleziona Crittografa le estrazioni.
2. Seleziona Utilizza un servizio KMS esterno.
   • Se l’opzione Utilizza Salesforce KMS è già selezionata, attualmente stai utilizzando chiavi di crittografia gestite dal cliente tramite il servizio Salesforce KMS.Per maggiori informazioni, consulta Chiavi di crittografia gestite dal cliente(Il collegamento viene aperto in una nuova finestra).Se modifichi l’impostazione in Utilizza un servizio KMS esterno, passerai in modo irreversibile dal servizio Salesforce KMS a un servizio KMS esterno.Prima di cambiare servizio KMS, consulta Eseguire la migrazione da chiavi di crittografia gestite dal cliente a un servizio KMS esterno.
3. Seleziona Genera chiave.
   • Se stai eseguendo la migrazione dal servizio Salesforce KMS a un servizio KMS esterno, leggi l’avviso, quindi seleziona Passa a un servizio KMS esterno.

3.Generare una chiave

Generare una chiave è la prima operazione da eseguire per leggere e scrivere estrazioni crittografate.Se hai già una chiave attiva, la generazione di un’altra chiave è la prima operazione da eseguire per sostituire la chiave attualmente attiva.

Per generare una chiave in Tableau:

1. Nella sezione Crittografia dell’estrazione, seleziona Genera chiave.
2. Se stai generando la prima chiave di un sito, vedrai la finestra di dialogo Configura AWS KMS.Se disponi già di una chiave attiva, procedi prima attraverso la finestra di dialogo di conferma Genera chiave.
3. Seleziona Avvia AWS KMS e accedi se necessario.
4. Nel servizio AWS KMS, crea una nuova chiave o cercane una esistente, quindi copia il nome ARN della chiave.Se hai bisogno di aiuto con le chiavi nel servizio AWS KMS, rivolgiti all’esperto di chiavi della tua sede.
5. Torna alla finestra di dialogo Configura AWS KMS di Tableau e incolla il nome ARN della chiave nel campo Valore ARN della chiave fornito da AWS.
6. Facoltativamente, immetti una Descrizione.
7. Seleziona Avanti oppure, se questa è la prima chiave per il sito, seleziona Abilita crittografia.
8. Seleziona Fine per aggiungere il codice JSON del criterio della chiave al servizio AWS KMS in un secondo momento oppure seleziona Aggiungere il codice JSON del criterio della chiave al criterio della chiave del servizio KMS per farlo ora.

La chiave non può essere utilizzata per leggere o scrivere estrazioni finché non aggiungi il codice JSON del criterio della chiave al criterio del servizio AWS KMS e finché non attivi questo codice.

4.Aggiungere il codice JSON del criterio della chiave al criterio della chiave del servizio KMS

Lo stato di una chiave appena generata è In sospeso.La chiave non può essere utilizzata per leggere o scrivere estrazioni finché non aggiungi il codice JSON del criterio della chiave al criterio del servizio AWS KMS e non attivi questo codice.

Per visualizzare il codice JSON del criterio della chiave, continua dal processo Generare una chiave.

In alternativa, se non continui questo processo:

1. Nella sezione Crittografia dell’estrazione, seleziona il menu azioni (...) accanto alla chiave appropriata il cui stato è In sospeso.
2. Seleziona Criterio chiave.

Per aggiungere il codice JSON del criterio della chiave al criterio del servizio AWS KMS, copia l’oggetto Statement pertinente da Tableau al codice JSON del criterio nel servizio AWS KMS.Ti serve solo una parte del testo del codice JSON completo.Tieni presente che per eseguire più facilmente questa operazione puoi selezionare Copia criterio chiave per incollarlo e modificarlo in un editor di testo.

Dal testo JSON copia l’oggetto nella matrice Statement,quindi, nel criterio della chiave del servizio AWS KMS, aggiungi il testo copiato nella matrice Statement, attenendosi alla sintassi JSON standard.Probabilmente dovrai aggiungere una virgola alla fine della matrice Statement del servizio AWS KMS esistente prima di aggiungere il nuovo codice JSON.

{
    "Version": "2012-10-17",
    "Id": "sfdc-key-access-policy",
    "Statement": [
{
            "Sid": "AllowSalesforceShieldKeyBroker1234567890abc",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:sts::123456789abc:assumed-role/EkmAwsKmsAccessRole/1234567890abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ12"
            },
            "Action": [
                "kms:GenerateDataKey*",
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:sf-auth": "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQ"
                }
            }
        }
]
}

5.Attivare una chiave

Per utilizzare una chiave per leggere e scrivere nuove estrazioni, devi attivarla.L’azione Attiva chiave è disponibile solo per le chiavi il cui stato è In sospeso.

1. Nella sezione Crittografia dell’estrazione, seleziona il menu azioni (...) accanto alla chiave appropriata il cui stato è In sospeso.
2. Seleziona Attiva chiave.

Se disponi già di una chiave attiva e attivi una nuova chiave, lo stato della chiave esistente diventa Archiviata.Una chiave archiviata viene utilizzata solo per leggere le estrazioni scritte tramite essa.La nuova chiave diventerà attiva e verrà utilizzata per scrivere nuove estrazioni e leggere le estrazioni scritte tramite essa.

Nota: dopo che hai abilitato la crittografia e hai attivato la prima chiave in un sito, Tableau Cloud crea un processo di crittografia in background per ciascuna estrazione nel tuo sito.A questi processi viene assegnata la priorità più bassa. Di conseguenza, vengono eseguiti solo quando sono disponibili risorse aggiuntive.I processi di aggiornamento delle estrazioni esistenti vengono eseguiti prima della crittografia delle estrazioni.

Altre azioni

Archiviare una chiave

Le chiavi archiviate possono leggere le estrazioni scritte tramite esse, ma non possono essere utilizzate per scrivere nuove estrazioni.L’unico modo per archiviare una chiave consiste nell’attivare una nuova chiave.Consulta Attivare una chiave.

Disattivare una chiave

Disattiva una chiave archiviata per renderla inutilizzabile per la lettura o la scrittura di qualsiasi estrazione.Devi eseguire questa operazione se la chiave è stata compromessa.L’azione Disattiva chiave è disponibile solo per le chiavi il cui stato è Archiviata.

Quando disattivi una chiave, questa non può essere utilizzata per leggere le estrazioni scritte tramite essa, a differenza di una chiave archiviata, che invece lo consente.Di conseguenza, alcuni contenuti basati su estrazioni potrebbero smettere di funzionare se non sono stati crittografati con una chiave attiva.Se hai bisogno di continuare ad accedere a contenuto basato su estrazioni che utilizza la chiave precedente, verifica che le estrazioni vengano aggiornate con una chiave attiva prima di disattivare quella precedente.

Nota: se necessario, puoi ripristinare una chiave disattivata.Lo stato di una chiave ripristinata passerà da Disattivata ad Archiviata.Consulta Ripristinare una chiave.

Per disattivare una chiave:

1. Nella sezione Crittografia dell’estrazione, seleziona il menu azioni (...) accanto alla chiave appropriata il cui stato è Archiviata.
2. Seleziona Disattiva chiave.
3. Immetti “Disattiva questa chiave” nel campo di testo per confermare l’azione.
4. Seleziona Disattiva chiave.

Ripristinare una chiave

Ripristina una chiave disattivata per renderla utilizzabile per la lettura delle estrazioni scritte tramite essa.L’azione Ripristina chiave è disponibile solo per le chiavi il cui stato è Disattivata e comporterà il passaggio allo stato Archiviata.

Quando ripristini una chiave rendendola archiviata, la chiave non potrà essere utilizzata per scrivere estrazioni,ma solo per leggere estrazioni scritte tramite essa.

1. Accedi al sito Tableau Cloud.
2. Seleziona Impostazioni nel riquadro di navigazione a sinistra.
3. Seleziona la scheda Sicurezza.
4. Nella sezione Crittografia dell’estrazione, seleziona il menu azioni (...) accanto alla chiave appropriata il cui stato è Disattivata.
5. Seleziona Ripristina chiave.
6. Seleziona Ripristina chiave.

Eliminare una chiave

Non puoi eliminare le chiavi di crittografia delle estrazioni.Una chiave può solo essere archiviata, mantenendone la capacità di leggere il contenuto scritto tramite essa, o disattivata, rendendo impossibile leggere o scrivere tramite essa.Consulta Stati delle chiavi.

Nota: se disabiliti la chiave CMK nel servizio AWS KMS, le chiavi di Tableau che derivano da essa smetteranno di funzionare per la crittografia e la decrittografia.Analogamente, se rimuovi la clausola generata da Tableau dal criterio della chiave CMK nel servizio AWS KMS, le chiavi di Tableau che derivano da essa smetteranno di funzionare.

Visualizzare il criterio della chiave

La finestra di dialogo Criterio chiave mostra il codice JSON del criterio della chiave per permetterne l’aggiunta al criterio della chiave del servizio AWS KMS.Il codice JSON del criterio della chiave può essere aggiunto durante il processo di generazione di una chiave o in un secondo momento.

Per maggiori informazioni, consulta Aggiungere il codice JSON del criterio della chiave al criterio della chiave del servizio KMS.

Per visualizzare il codice JSON del criterio della chiave:

1. Nella sezione Crittografia dell’estrazione, seleziona il menu azioni (...) accanto alla chiave appropriata.
2. Seleziona Criterio chiave.

Visualizzare la cronologia delle chiavi

Ciascuna riga della tabella della cronologia delle chiavi mostra un evento, lo stato della chiave dopo l’evento e la data e l’ora dell’evento.

Per visualizzare la cronologia di una chiave:

1. Nella sezione Crittografia dell’estrazione, seleziona il menu azioni (...) accanto alla chiave appropriata.
2. Seleziona Cronologia chiavi.

Verificare la configurazione

Utilizza l’azione Verifica configurazione su una chiave il cui stato è In sospeso per determinare se può essere attivata.Utilizza l’azione Verifica configurazione su chiavi con un altro stato per vedere se funzionano, se dovrebbero funzionare o se non funzionano.

Per verificare la configurazione di una chiave:

1. Nella sezione Crittografia dell’estrazione, seleziona il menu azioni (...) accanto alla chiave appropriata.
2. Seleziona Verifica configurazione.

Operazione riuscita:

• La chiave può essere utilizzata per crittografare estrazioni.Se lo stato della chiave è In sospeso, può essere attivata senza alcun rischio.Se la chiave è già attiva, funziona.

Errori:

• POLICY_DENIED: il servizio KMS esterno non dispone di un criterio che autorizza questa chiave.Verifica di aver copiato il criterio da questa chiave al servizio KMS esterno.
• KEY_NOT_FOUND: la chiave non è stata trovata o è disattivata in Tableau.Verifica il nome ARN e il criterio della chiave AWS KMS.
• UNKNOWN: si è verificato un errore sconosciuto.Assicurati che la chiave non sia disabilitata nel servizio AWS KMS e riprova.

Nota: se disabiliti la chiave CMK nel servizio AWS KMS, le chiavi di Tableau che derivano da essa smetteranno di funzionare per la crittografia e la decrittografia.Analogamente, se rimuovi la clausola generata da Tableau dal criterio della chiave CMK nel servizio AWS KMS, le chiavi di Tableau che derivano da essa smetteranno di funzionare.