抽出の暗号化キーに外部 KMS を使用する

適用先: Tableau Cloud

抽出の暗号化と復号に使用するマスターキーは、外部のキー管理システム (KMS) に保存できます。外部 KMS を使用すると、暗号化キーを直接制御できるため、組織のセキュリティ体制の強化、規制要件への対応、データ主権の維持に役立ちます。

キー管理に外部 KMS を使用することの利点に関する一般的な情報については、「キー管理に外部 KMS を使用する」を参照してください。

注: Tableau+、Tableau Enterprise、または Advanced Management をお持ちの場合、抽出の暗号化のための外部 KMS 機能は、Tbleau Cloud 2026 年 2 月以降で使用できます。Tableau+、Tableau Enterprise、または Advanced Management を利用できなくなった場合でも、暗号化されたオブジェクトの操作は引き続き可能ですが、キーの管理はできなくなります。

セットアップの概要

Tableau で AWS KMS を使用するための概要レベルの手順は次のとおりです。

AWS KMS: カスタマーマスターキー (CMK) を作成します。
Tableau Cloud: 抽出の暗号化を有効にします (または、Salesforce KMS を使用するカスタマー管理の暗号化キーから移行します)。
Tableau Cloud: AWS KMS からカスタマーマスターキーの ARN を使用して Tableau でキーを生成します。
AWS KMS: Tableau キーポリシー JSON を AWS カスタマーマスターキーのポリシーに追加します。
Tableau Cloud: キーを有効化します。

キーのステータス

外部 KMS を使用する場合、Tableau Cloud で抽出の暗号化に使用されるキーには、次のステータスと機能があります。

保留中 — キーを生成しましたが、まだ使用していません。有効化するまでは、抽出の書き込みまたは読み取りに使用できません。
有効 — キーは抽出の書き込みと、暗号化された抽出の読み取りに使用されています。
アーカイブ済み - キーは過去に有効になっていましたが、後で別のキーに置き換えられました。抽出の書き込みには使用されていませんが、暗号化された抽出の読み取りには使用されています。
無効 — キーは過去に有効になっていましたが、その後アーカイブされ、現在は無効になっています。抽出の読み取りまたは書き込みに使用されていません。

ステータスのクイックリファレンス

キーのステータス	抽出の書き込み/暗号化が可能	抽出の読み取り/復号が可能
保留中
有効	✓	✓
アーカイブ済み		✓
無効

セットアップの詳細

構成は以下の手順で開始します。

Tableau Cloud サイトにログインします。
左側のナビゲーションペインで、[設定] を選択します。
[セキュリティ] タブを選択します。

1.AWS KMS でマスターキーを作成する

Tableau が暗号化に使用するキーは、AWS KMS(新しいウィンドウでリンクが開く) に存在するカスタマーマスターキー (CMK) に基づいています。そのため、Tableau がキーを生成するには、AWS KMS に CMK が存在している必要があります。

Tableau のキー生成ダイアログには AWS KMS(新しいウィンドウでリンクが開く) へのリンクが含まれているため、CMK を作成したり、既存の CMK に関する情報を取得したりできます。AWS KMS のキーについてのサポートが必要な場合は、現地のキーのエキスパートにご相談ください。

AWS キーは、Amazon リソースネーム (ARN) によって一意に識別されます。Tableau のキー生成プロセス中に CMK ARN を指定するよう求められます。キーの ARN の書式は次の通りです。

arn:aws:kms:us-east-2:123456789012:key/12345678-90ab-cdef-1234-567890abcdef

AWS でカスタマーマスターキーを作成したら、Tableau Cloud で抽出の暗号化を有効にできます。

2.外部 KMS を使用した抽出の暗号化を有効にする

注: 暗号化を一度有効にすると、無効にすることはできません。同様に、カスタマー管理の暗号化キー (Salesforce KMS を使用) から外部 KMS への切り替えは永続的な変更であるため、元に戻すことはできません。

外部 KMS を有効にするには次の操作を行います。

[抽出の暗号化] セクションで、[抽出の暗号化] を選択します。
[外部 KMS を使用] を選択します。
- [Salesforce KMS を使用する] がすでに選択されている場合は、現在、Salesforce KMS を介してカスタマー管理の暗号化キーを使用しています(詳細については、「カスタマー管理の暗号化キー(新しいウィンドウでリンクが開く)」を参照してください)。設定を [外部 KMS を使用する] に変更すると、Salesforce KMS から外部 KMS に変更され、元に戻せなくなります。KMS を変更する前に、「カスタマー管理の暗号化キーから外部 KMS に移行する」を参照してください。
[キーの生成] を選択します。
- Salesforce KMS から外部 KMS に移行しようとしている場合は、警告を読んでから [外部 KMS に切り替え] を選択します。

3.キーを生成する

キーの生成は、暗号化された抽出の読み取りと書き込みを行うための最初のステップです。有効なキーが既にある場合は、最初のステップとして、現在有効なキーを置き換えるために別のキーを生成します。

Tableau でキーを生成するには次の操作を行います。

[抽出の暗号化] セクションで、[キーの生成] を選択します。
サイトの最初のキーを生成する場合は、[AWS KMS の設定] ダイアログが表示されます。有効なキーが既にある場合は、最初に [キーの生成] 確認ダイアログボックスに進みます。
[AWS KMS の起動] を選択し、必要に応じてログインします。
AWS KMS で、新しいキーを作成するか、既存のキーを見つけてキーの ARN をコピーします。AWS KMS のキーについてのサポートが必要な場合は、現地のキーのエキスパートにご相談ください。
Tableau の [AWS KMS の設定] ダイアログに戻り、キーの ARN を [AWS からのキー ARN] フィールドに貼り付けます。
必要に応じて、[説明] を入力します。
[次へ] を選択します (または、サイトの最初のキーの場合は [暗号の有効化] を選択します)。
[完了] を選択してキーポリシーの JSON を後で AWS KMS に追加するか、[キーポリシーの JSON を KMS キーポリシーに追加する] に従って今すぐ追加します。

キーポリシーの JSON を AWS KMS ポリシーに追加して有効化するまで、キーを使用して抽出の読み取りまたは書き込みを行うことはできません。

4.キーポリシーの JSON を KMS キーポリシーに追加する

新しく生成されたキーのステータスは [保留中] です。AWS KMS ポリシーにキーポリシーの JSON を追加し、それを有効化するまでは、このキーを使用して抽出の読み取りや書き込みを行うことはできません。

キーポリシーの JSON を確認するには、[キーの生成] プロセスに進んでください。

または、そのプロセスを続けない場合は、次の手順を実行します。

[抽出の暗号化] セクションで、該当する [保留中] キーの横にある [アクション] (...) を選択します。
[キーポリシー] を選択します。

キーポリシーの JSON を AWS KMS ポリシーに追加するには、Tableau から関連する Statement オブジェクトを AWS KMS ポリシーの JSON にコピーしてください。必要なのは完全な JSON テキストの一部だけです。テキストエディターに貼り付けて編集する場合は、[キーポリシーのコピー] を選択する方が簡単であることに留意してください。

JSON テキストから、Statement 配列のオブジェクトをコピーします。次に、AWS KMS キーのポリシーで、標準の JSON 構文に従って、コピーしたテキストを Statement 配列に追加します。(新しい JSON を追加する前に、既存の AWS KMS の Statement 配列の末尾にコンマを追加する必要があります)。

例:

強調表示されている部分は、AWS KMS ポリシーに追加するセクションです。

{
    "Version": "2012-10-17",
    "Id": "sfdc-key-access-policy",
    "Statement": [{
            "Sid": "AllowSalesforceShieldKeyBroker1234567890abc",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:sts::123456789abc:assumed-role/EkmAwsKmsAccessRole/1234567890abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ12"
            },
            "Action": [
                "kms:GenerateDataKey*",
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:sf-auth": "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQ"
                }
            }
        }]
}

5.キーを有効化する

キーを有効化して、新しい抽出の読み取りと書き込みに使用できるようにします。[キーの有効化] アクションは、[保留中] のキーでのみ使用できます。

[抽出の暗号化] セクションで、該当する [保留中] キーの横にある [アクション] (...) を選択します。
[キーの有効化...] を選択します。

既に有効なキーがある場合、新しいキーを有効化すると、既存のキーのステータスが [アーカイブ済み] に変更されます。アーカイブ済みのキーは、暗号化された抽出を読み取るためにのみ使用します。新しいキーが [有効] になり、新しい抽出の書き込みと暗号化された抽出の読み取りに使用できるようになります。

注: 暗号化を有効にしてサイトで最初のキーを有効化すると、Tableau Cloud はサイト上の各抽出に対して抽出暗号化バックグラウンドジョブを作成します。これらのジョブは最低の優先度に設定され、リソースに余裕がある場合にのみ実行されます。既存の抽出更新ジョブは、抽出が暗号化される前に実行されます。

その他のアクション

キーのアーカイブ

アーカイブされたキーは、書き込んだ抽出を読み取ることができますが、新しい抽出の書き込みには使用されません。キーをアーカイブする唯一の方法は、新しいキーを有効化することです。「キーの有効化」を参照してください。

キーの無効化

アーカイブされたキーを無効化すると、抽出の読み取りまたは書き込みに使用できなくなります。この操作は、キーが侵害された場合に行うことがあります。[キーの無効化] アクションは、[アーカイブ済み] のキーでのみ使用できます。

キーを無効化すると、そのキーを使用して書き込んだ抽出を読み取ることはできなくなります (アーカイブされたキーであれば書き込んだ抽出を読み取ることができます)。つまり、一部の抽出ベースのコンテンツは、有効なキーで暗号化されていない場合、動作を停止する可能性があります。古いキーを使用する抽出ベースのコンテンツへのアクセスを保持する必要がある場合は、古いキーを無効化する前に、有効なキーで抽出が更新されていることを確認してください。

注: 必要に応じて、無効化されたキーを [復元] できます。キーを復元すると、[無効] から [アーカイブ済み] に変わります。「キーの復元」を参照してください。

キーを無効化するには、以下を実行します。

[抽出の暗号化] セクションで、該当する [アーカイブ済み] キーの横にあるアクション (...) を選択します。
[キーの無効化...] を選択します。
テキストフィールドに「Deactivate this key (このキーを無効化)」と入力して、アクションを確認します。
[キーの無効化] を選択します。

キーの復元

無効化されたキーを復元すると、書き込んだ抽出の読み取りに使用できるようになります。[キーの復元] アクションは [無効] なキーでのみ使用でき、キーは [アーカイブ済み] に変わります。

キーをアーカイブされた状態に復元しても、抽出の書き込みには使用されません。暗号化された抽出を読み取るためにのみ使用されます。

Tableau Cloud サイトにログインします。
左側のナビゲーションペインで、[設定] を選択します。
[セキュリティ] タブを選択します。
[抽出の暗号化] セクションで、該当する [無効] キーの横にある [アクション] (...) を選択します。
[キーの復元...] を選択します。
[キーの復元] を選択します。

キーの削除

抽出の暗号化キーは削除できません。キーでの可能な操作は、アーカイブ (書き込んだコンテンツを読み取る機能を保持する) か、無効化 (読み取りも書き込みもできない) かのいずれかのみです。「キーのステータス」を参照してください。

注: AWS KMS でカスタマーマスターキー (CMK) を無効にすると、それから派生した Tableau キーは暗号化または復号で機能しなくなります。同様に、AWS KMS の CMK のポリシーから Tableau で生成された句を削除すると、その句から派生した Tableau キーは機能しなくなります。

キーポリシーの表示

[キーポリシー] ダイアログには、AWS KMS キーのポリシーに追加するキーポリシーの JSON が表示されます。キーポリシーの JSON は、[キーの生成] プロセス中またはそれ以降に追加できます。

詳細については、「キーポリシーの JSON を KMS キーポリシーに追加する」を参照してください。

キーポリシーの JSON を確認するには、次の手順を実行します。

[抽出の暗号化] セクションで、該当するキーの横にある [アクション] (...) を選択します。
[キーポリシー] を選択します。

キー履歴の表示

キー履歴テーブルの各行には、イベント、イベント後のキーの状態、およびイベントの日時が表示されます。

キーの履歴を表示するには次の操作を行います。

[抽出の暗号化] セクションで、該当するキーの横にある [アクション] (...) を選択します。
[キー履歴] を選択します。

構成のテスト

保留中のキーに対して [構成のテスト] アクションを使用すると、キーを有効化できるかどうかを判断できます。他の状態のキーに対して [構成のテスト] アクションを使用すると、キーが動作しているか、動作できるか、動作できないかが表示されます。

キーの設定をテストするには次の操作を行います。

[抽出の暗号化] セクションで、該当するキーの横にある [アクション] (...) を選択します。
[構成のテスト...] を選択します。

成功:

このキーは抽出の暗号化に使用できます。キーが保留中の場合は、安全に有効化できます。キーがすでに有効になっている場合は、機能していることを示します。

エラー:

POLICY_DENIED - 外部 KMS に、このキーを許可するポリシーがありません。このキーから外部 KMS にポリシーをコピーしたことを確認してください。
KEY_NOT_FOUND — キーが見つからなかったか、Tableau でキーが無効化されています。AWS KMS キーの ARN とポリシーを確認してください。
UNKNOWN — 不明なエラーが発生しました。キーが AWS KMS で無効になっていないことを確認して、もう一度やり直してください。

一番上に戻る

フィードバックをお送りいただき、ありがとうございます。

フィードバックは正常に送信されました。ありがとうございます!

Tableau Cloud ヘルプ