É possível armazenar as chaves principais usadas para criptografar e descriptografar extrações em um sistema de gerenciamento de chaves externo (KMS).Ao fornecer controle direto sobre as chaves de criptografia, o uso de um KMS externo pode ajudar a melhorar a postura de segurança das organizações, atender a exigências regulatórias e manter a soberania dos dados.

Para obter informações gerais sobre os benefícios de usar um KMS externo para gerenciamento de chaves, consulte Usar um KMS externo para gerenciamento de chaves.

Observação: o recurso KMS externo para criptografia de extração está disponível a partir de fevereiro de 2026 no Tableau Cloud se você tiver o Tableau+, o Tableau Enterprise ou o Advanced Management.Se em algum momento você não tiver mais o Tableau+, o Tableau Enterprise ou o Advanced Management, ainda será possível trabalhar com seus objetos criptografados, mas não será possível gerenciar chaves.

Visão geral da configuração

As etapas de nível de resumo para usar o KMS do AWS com o Tableau são:

1. KMS do AWS: criar a chave principal do cliente (CMK).
2. Tableau Cloud: habilitar a criptografia de extração (ou migrar de chaves de criptografia gerenciadas pelo cliente, que usa o KMS do Salesforce).
3. Tableau Cloud: gerar uma chave no Tableau, usando o ARN da chave principal do cliente do KMS do AWS.
4. KMS do AWS: adicionar a política de chave do Tableau JSON à política da chave principal do cliente do AWS.
5. Tableau Cloud: ativar a chave.

Detalhes da instalação

A configuração começa com:

1. Faça logon no site do Tableau Cloud.
2. Selecione Configurações no painel de navegação esquerdo.
3. Selecione a guia Segurança.

1.Criar uma chave principal no KMS do AWS

As chaves que o Tableau usa para criptografia são baseadas em chaves principais do cliente (CMKs) que existem no KMS do AWS(O link é aberto em uma nova janela).Portanto, você deve ter uma CMK no KMS do AWS para que o Tableau possa gerar chaves.

A caixa de diálogo de geração de chaves do Tableau contém um link para o KMS do AWS(O link é aberto em uma nova janela) para que você possa criar uma CMK ou obter informações sobre uma já existente.Se precisar de ajuda com chaves no KMS do AWS, consulte o especialista local em chaves.

As chaves do AWS são identificadas exclusivamente por um nome de recurso da Amazon (ARN).O ARN da CMK é solicitado durante o processo de geração de chaves do Tableau.Os ARNs principais são formatados como:

arn:aws:kms:us-east-2:123456789012:key/12345678-90ab-cdef-1234-567890abcdef

Depois que a chave principal do cliente é criada no AWS, você pode habilitar a criptografia de extração no Tableau Cloud.

2.Habilitar a criptografia de extração com um KMS externo

Observação: depois de habilitar a criptografia, você não poderá desabilitá-la.Da mesma forma, alternar de chaves de criptografia gerenciadas pelo cliente (usando o KMS do Salesforce) para um KMS externo é permanente e não pode ser desfeito.

Para habilitar um KMS externo:

1. Na seção Criptografia de extração, selecione Criptografar extrações.
2. Selecione Usar um KMS externo.
   • Caso Usar o KMS do Salesforce já esteja selecionado, você está usando chaves de criptografia gerenciadas pelo cliente por meio do KMS do Salesforce.(Para obter mais informações, consulte Chaves de criptografia gerenciadas pelo cliente(O link é aberto em uma nova janela).)Alterar a configuração para Usar um KMS externo mudará irreversivelmente do KMS do Salesforce para um KMS externo.Antes de alterar o KMS, consulte Migrar de chaves de criptografia gerenciadas pelo cliente para KMS externo.
3. Selecione Gerar chave.
   • Se você estiver migrando do KMS do Salesforce para um KMS externo, leia o aviso e selecione Alternar para o KMS externo.

3.Gerar uma chave

Gerar uma chave é a primeira etapa para ler e gravar extrações criptografadas.Se você já tiver uma chave ativa, gere outra chave como um primeiro passo para substituir a chave ativa no momento.

Para gerar uma chave no Tableau:

1. Na seção Criptografia de extração, selecione Gerar chave.
2. Se você estiver gerando a primeira chave para um site, verá a caixa de diálogo Configurar o KMS do AWS.Se você já tiver uma chave ativa, passe primeiro pela caixa de diálogo de confirmação Gerar chave.
3. Selecione Iniciar o KMS do AWS e faça logon, se necessário.
4. No KMS do AWS, crie uma nova chave ou encontre uma existente, em seguida, copie o ARN da chave.Se precisar de ajuda com chaves no KMS do AWS, consulte o especialista local em chaves.
5. Retorne à caixa de diálogo Configurar o KMS do AWS do Tableau e cole o ARN da chave no campo ARN da chave no AWS.
6. Como opção, insira uma Descrição.
7. Selecione Avançar (ou Habilitar criptografia, se esta for a primeira chave para o site).
8. Selecione Concluído para adicionar o JSON de política de chave ao KMS do AWS posteriormente ou siga Adicionar JSON de política de chave à política de chave do KMS para fazer isso agora.

A chave não pode ser usada para ler ou gravar extrações até que você adicione o JSON de política de chave à política de KMS do AWS e depois a ative.

4.Adicionar o JSON da política de chave à política de chave do KMS

Uma chave recém-gerada tem o status Pendente.Não pode ser usada para ler ou gravar extrações até adicionar o JSON da política de chave à política do KMS do AWS e depois ativá-la.

Para ver o JSON de política de chave, continue no processo Gerar uma chave.

Ou, se você não estiver continuando a partir desse processo:

1. Na seção Criptografia de extração, selecione ações (...) ao lado da chave Pendente apropriada.
2. Selecione Política de chave.

Para adicionar o JSON da política de chaves à política do KMS do AWS, copie o objeto Statement relevante do Tableau para o JSON da política no KMS do AWS.Você só precisa de parte do texto JSON completo.Lembre-se de que selecionar Copiar política de chave para colar e editar em um editor de texto pode ser mais fácil.

No texto do JSON, copie o objeto na matriz Statement.Em seguida, na política de chave do KMS do AWS, adicione o texto copiado à matriz Statement, seguindo a sintaxe JSON padrão.(Talvez seja necessário adicionar uma vírgula ao final da matriz Statement do KMS do AWS existente antes de adicionar o novo JSON.)

{
    "Version": "2012-10-17",
    "Id": "sfdc-key-access-policy",
    "Statement": [
{
            "Sid": "AllowSalesforceShieldKeyBroker1234567890abc",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:sts::123456789abc:assumed-role/EkmAwsKmsAccessRole/1234567890abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ12"
            },
            "Action": [
                "kms:GenerateDataKey*",
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:sf-auth": "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQ"
                }
            }
        }
]
}

5.Ativar uma chave

Ative uma chave para ler e gravar novas extrações.A ação Ativar chave só está disponível em uma chave Pendente.

1. Na seção Criptografia de extração, selecione ações (...) ao lado da chave Pendente apropriada.
2. Selecione Ativar chave....

Se já houver uma chave ativa, ativar uma nova chave altera o status da chave existente para Arquivada.Uma chave arquivada é usada apenas para ler extrações que ela gravou.A nova chave se tornará Ativa e será usada para gravar novas extrações e ler extrações que ela escreveu.

Observação: depois de você habilitar a criptografia e ativar a primeira chave em um site, o Tableau Cloud cria um trabalho em segundo plano de criptografia de extração para cada extração em seu site.Esses trabalhos são definidos como a prioridade mais baixa, o que significa que são executados somente quando há recursos adicionais.Os trabalhos de atualização de extração existentes são executados antes que as extrações sejam criptografadas.

Outras ações

Arquivar uma chave

As chaves arquivadas podem ler extrações que gravaram, mas não são usadas para gravar novas extrações.A única maneira de arquivar uma chave é ativando uma nova chave.Consulte Ativar uma chave.

Desativar uma chave

Desative uma chave arquivada para torná-la inutilizável para leitura ou gravação de extrações.Você poderá fazer isso se a chave tiver sido comprometida.A ação Desativar chave só está disponível em uma chave Arquivada.

Quando você desativa uma chave, ela não pode ser usada para ler extrações que ela gravou (em contraste com uma chave arquivada, que pode ler extrações que ela gravou).Isso significa que parte do conteúdo baseado em extração pode parar de funcionar caso não tenha sido criptografado com uma chave ativa.Se você precisar manter o acesso ao conteúdo baseado em extrações que usa a chave antiga, certifique-se de que as extrações sejam atualizadas com uma chave ativa antes de desativar a antiga.

Observação: é possível Restaurar uma chave desativada, se necessário.A restauração de uma chave a mudará de Desativada para Arquivada.Consulte Restaurar uma chave.

Para desativar uma chave:

1. Na seção Extração de criptografia, selecione ações (...) ao lado da chave Arquivada apropriada.
2. Selecione Desativar chave....
3. Digite “Desativar esta chave” no campo de texto para confirmar sua ação.
4. Selecione Desativar chave.

Restaurar uma chave

Restaure uma chave desativada para torná-la utilizável para a leitura de extrações que ela gravou.A ação Restaurar chave só está disponível em uma chave Desativada e a altera para Arquivada.

Quando você restaura uma chave para o estado arquivado, ela não é usada para gravar nenhuma extração.Ela é usada apenas para ler extrações que gravou.

1. Faça logon no site do Tableau Cloud.
2. Selecione Configurações no painel de navegação esquerdo.
3. Selecione a guia Segurança.
4. Na seção Criptografia de extração, selecione ações (...) ao lado da chave Desativada apropriada.
5. Selecione Restaurar chave....
6. Selecione Restaurar chave.

Excluir uma chave

Não é possível excluir chaves de criptografia de extração.Uma chave só pode ser arquivada (que mantém a capacidade de ler o conteúdo que gravou) ou desativada (que não pode ler nem gravar).Consulte Status de chaves.

Observação: se você desabilitar a chave principal do cliente (CMK) no KMS do AWS, as chaves do Tableau derivadas dela deixarão de funcionar para criptografia ou descriptografia.Da mesma forma, se você remover a cláusula gerada pelo Tableau da política da CMK no KMS do AWS, as chaves do Tableau derivadas dela vão param de funcionar.

Consultar a política de chaves

A caixa de diálogo Política de chave mostra o JSON de política de chave a ser adicionado à política de chave do KMS do AWS.O JSON de política de chave pode ser adicionado durante o processo Gerar uma chave ou posteriormente.

Para obter mais informações, consulte Adicionar JSON de política de chave à política de chave do KMS.

Para ver o JSON da política da chave:

1. Na seção Criptografia de extração, selecione ações (...) ao lado da chave apropriada.
2. Selecione Política de chave.

Consultar o histórico de chaves

Cada linha da tabela do histórico de chaves mostra um evento, o status da chave após o evento e a data e hora do evento.

Para ver o histórico de uma chave:

1. Na seção Criptografia de extração, selecione ações (...) ao lado da chave apropriada.
2. Selecione Histórico de chaves.

Testar configuração

Use a ação Testar configuração em uma chave pendente para determinar se ela pode ser ativada.Use a ação Testar configuração nas chaves com outros status para mostrar se estão funcionando, devem funcionar ou não funcionarão.

Para testar a configuração de uma chave:

1. Na seção Criptografia de extração, selecione ações (...) ao lado da chave apropriada.
2. Selecione Testar a configuração....

Sucesso:

• A chave pode ser usada para criptografar extrações.Se a chave está pendente, é seguro ativá-la.Se a chave já está ativa, ela está funcionando.

Erros:

• POLICY_DENIED — O KMS externo não tem uma política que permita esta chave.Confirme se você copiou a política desta chave para o KMS externo.
• KEY_NOT_FOUND — A chave não foi encontrada ou a chave está desativada no Tableau.Confirme a política e o ARN da chave do KMS do AWS.
• UNKNOWN — Ocorreu um erro desconhecido.Certifique-se de que a chave não esteja desabilitada no KMS do AWS e tente novamente.

Observação: se você desabilitar a chave principal do cliente (CMK) no KMS do AWS, as chaves do Tableau derivadas dela deixarão de funcionar para criptografia ou descriptografia.Da mesma forma, se você remover a cláusula gerada pelo Tableau da política da CMK no KMS do AWS, as chaves do Tableau derivadas dela vão param de funcionar.