Du kan lagra de huvudnycklar du använder för att kryptera och dekryptera extrakt hos en extern nyckelhanteringstjänst.Eftersom en extern nyckelhanteringstjänst tillhandahåller direkt kontroll över krypteringsnycklarna kan detta bidra till att förbättra säkerheten för organisationer, uppfylla regelkrav och upprätthålla datasuveränitet.

Allmän information om fördelarna med att använda en extern nyckelhanteringstjänst för nyckelhantering finns i Använda en extern nyckelhanteringstjänst (KMS) för nyckelhantering.

Obs! Funktionen för att använda en extern nyckelhanteringstjänst för extraktkryptering finns från och med Tableau Cloud februari 2026 om du har Tableau+, Tableau Enterprise eller Advanced Management.Om du inte längre skulle ha Tableau+, Tableau Enterprise eller Advanced Management går det fortfarande att arbeta med dina krypterade objekt, men du kommer inte att kunna hantera nycklar.

Konfigurationsöversikt

Stegen på sammanfattningsnivån för att använda AWS KMS med Tableau är:

1. AWS KMS: Skapa kundhuvudnyckeln (CMK).
2. Tableau Cloud: Aktivera extraktkryptering (eller migrera från kundhanterade krypteringsnycklar, som använder Salesforce KMS).
3. Tableau Cloud: Generera en nyckel i Tableau med hjälp av kundhuvudnyckelns ARN från AWS KMS.
4. AWS KMS: Lägg till JSON-filen för Tableaus nyckelpolicy i AWS-kundhuvudnyckelns policy.
5. Tableau Cloud: Aktivera nyckeln.

Konfigurationsinformation

Konfigurationen börjar med:

1. Logga in på Tableau Cloud-platsen.
2. Välj Inställningar i den vänstra navigeringsrutan.
3. Välj fliken Säkerhet.

1.Skapa en huvudnyckel i AWS KMS

De nycklar som Tableau använder för kryptering bygger på kundhuvudnycklar som finns i AWS KMS(Länken öppnas i ett nytt fönster).Därför behöver du en kundhuvudnyckel i AWS KMS innan Tableau kan generera några nycklar.

Dialogrutan för nyckelgenerering i Tableau innehåller en länk till AWS KMS(Länken öppnas i ett nytt fönster) så att du kan skapa en kundhuvudnyckel eller få information om en som redan finns.Om du behöver hjälp med nycklar i AWS KMS kontaktar du den lokala nyckelexperten.

En AWS-nyckel har en unik identifierare i sitt ARN (Amazon Resource Name).Du ombeds ange kundhuvudnyckelns ARN när Tableau-nyckeln genereras.Nyckel-ARN formateras så här:

arn:aws:kms:us-east-2:123456789012:key/12345678-90ab-cdef-1234-567890abcdef

När kundhuvudnyckeln har skapats i AWS kan du aktivera extraktkryptering i Tableau Cloud.

2.Aktivera extraktkryptering med en extern nyckelhanteringstjänst

Obs! När du väl har aktiverat kryptering kan du inte inaktivera det.På samma sätt är bytet från kundhanterade krypteringsnycklar (med Salesforce KMS) till en extern nyckelhanteringstjänst permanent och du kan inte ångra det.

Så här aktiverar du en extern nyckelhanteringstjänst:

1. I avsnittet Extraktkryptering väljer du Kryptera extrakt.
2. Välj Använd en extern nyckelhanteringstjänst.
   • Om Använd Salesforce KMS redan har valts använder du för närvarande kundhanterade krypteringsnycklar via Salesforce KMS.(Mer information finns i Kundhanterade krypteringsnycklar(Länken öppnas i ett nytt fönster).)Om du ändrar inställningen till Använd en extern nyckelhanteringstjänst ändras det oåterkalleligt från Salesforce KMS till den externa nyckelhanteringstjänsten.Innan du ändrar nyckelhanteringstjänst läser du Migrera från kundhanterade krypteringsnycklar till en extern nyckelhanteringstjänst.
3. Välj Generera nyckel.
   • Om du migrerar från Salesforce KMS till en extern nyckelhanteringstjänst läser du varningen och väljer sedan Växla till extern nyckelhanteringstjänst.

3.Skapa en nyckel

Det första steget mot att läsa och skriva krypterade extrakt är att generera en nyckel.Om du redan har en aktiv nyckel genererar du en annan nyckel som ett första steg mot att ersätta den aktiva nyckeln.

Så här genererar du en nyckel i Tableau:

1. I avsnittet Extraktkryptering väljer du Generera nyckel.
2. Om du genererar den första nyckeln för en plats visas dialogrutan Konfigurera AWS KMS.Om du redan har en aktiv nyckel går du först igenom bekräftelsedialogrutan Generera nyckel.
3. Välj Starta AWS KMS och logga in om det behövs.
4. I AWS KMS skapar du en ny nyckel eller letar upp en befintlig och kopierar sedan nyckelns ARN.Om du behöver hjälp med nycklar i AWS KMS kontaktar du den lokala nyckelexperten.
5. Gå tillbaka till dialogrutan Konfigurera AWS KMS i Tableau och klistra in nyckelns ARN i fältet Nyckel-ARN från AWS.
6. Du kan också ange en Beskrivning.
7. Välj Nästa (eller Aktivera kryptering om detta är den första nyckeln för platsen).
8. Välj Klart om du vill lägga till nyckelpolicyns JSON-fil i AWS KMS senare eller följ Lägga till nyckelpolicyns JSON-fil i KMS-nyckelpolicyn om du vill göra det nu.

Nyckeln kan inte användas för att läsa eller skriva extrakt förrän du lägger till nyckelpolicyns JSON-fil i AWS KMS-policyn och aktiverar den.

4.Lägg till nyckelpolicyns JSON-fil i KMS-nyckelpolicyn

En nyligen genererad nyckel har statusen Väntande.Den kan inte användas för att läsa eller skriva extrakt förrän du lägger till nyckelpolicyns JSON-fil i AWS KMS-policyn och aktiverar den.

Om du vill se nyckelpolicyns JSON-fil fortsätter du från processen Generera en nyckel.

Om du inte fortsätter från den processen:

1. I avsnittet Extraktkryptering väljer du åtgärder (...) bredvid relevant väntande nyckel.
2. Välj Nyckelpolicy.

Om du vill lägga till nyckelpolicyns JSON-fil i AWS KMS-policy kopierar du det relevanta Statement-objektet från Tableau till policyns JSON-fil i AWS KMS.Du behöver bara en del av den fullständiga JSON-texten.Tänk på att det kan vara enklare att välja Kopiera nyckelpolicy för att klistra in och redigera i en textredigerare.

Kopiera objektet i Statement-matrisen i JSON-texten.I AWS KMS-nyckelpolicyn lägger du sedan till den kopierade texten i Statement-matrisen enligt JSON-standardsyntaxen.(Du kan behöva lägga till ett kommatecken i slutet av den befintliga AWS KMS-policyns Statement-matris innan du lägger till den nya JSON-texten.)

{
    "Version": "2012-10-17",
    "Id": "sfdc-key-access-policy",
    "Statement": [
{
            "Sid": "AllowSalesforceShieldKeyBroker1234567890abc",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:sts::123456789abc:assumed-role/EkmAwsKmsAccessRole/1234567890abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ12"
            },
            "Action": [
                "kms:GenerateDataKey*",
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:sf-auth": "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQ"
                }
            }
        }
]
}

5.Aktivera en nyckel

Aktivera en nyckel om du vill använda den för att läsa och skriva nya extrakt.Åtgärden Aktivera nyckel är bara tillgänglig för en väntande nyckel.

1. I avsnittet Extraktkryptering väljer du åtgärder (...) bredvid relevant väntande nyckel.
2. Välj Aktivera nyckel ....

Om du redan har en aktiv nyckel ändras den befintliga nyckelns status till Arkiverad när du aktiverar en ny nyckel.En arkiverad nyckel används bara för att läsa extrakt som den har skrivit.Den nya nyckeln blir aktiv och används för att skriva nya extrakt och läsa extrakt som den har skrivit.

Obs! När du har aktiverat kryptering och aktiverat den första nyckeln på en plats skapar Tableau Cloud ett bakgrundsjobb för extraktkryptering för varje extrakt på platsen.De här jobben har lägst prioritet, vilket innebär att de bara körs när det finns extra resurser.Befintliga extraktuppdateringsjobb körs innan extrakten krypteras.

Andra åtgärder

Arkivera en nyckel

Arkiverade nycklar kan läsa extrakt de har skrivit, men de används inte för att skriva nya extrakt.Det enda sättet att arkivera en nyckel är att aktivera en ny nyckel.Läs mer i Aktivera en nyckel.

Inaktivera en nyckel

Inaktivera en arkiverad nyckel om du vill göra den oanvändbar för att läsa eller skriva extrakt.Du kan till exempel göra detta om nyckeln har äventyrats.Åtgärden Inaktivera nyckel är bara tillgänglig för en arkiverad nyckel.

När du inaktiverar en nyckel kan den inte användas för att läsa extrakt som den har skrivit (till skillnad från en arkiverad nyckel, som kan läsa extrakt som den har skrivit).Det innebär att en del extraktbaserat innehåll kan sluta fungera om det inte har krypterats med en aktiv nyckel.Om du behöver behålla tillgången till extraktbaserat innehåll som använder den gamla nyckeln försäkrar du dig om att extrakten uppdateras med en aktiv nyckel innan du inaktiverar den gamla.

Obs! Du kan återställa en inaktiverad nyckel om det behövs.När du återställer en nyckel ändras den från Inaktiverad till Arkiverad.Läs mer i Återställa en nyckel.

Så här inaktiverar du en nyckel:

1. I avsnittet Extraktkryptering väljer du åtgärder (...) bredvid relevant arkiverad nyckel.
2. Välj Inaktivera nyckel ....
3. Skriv ”Inaktivera den här nyckeln” i textfältet för att bekräfta åtgärden.
4. Välj Inaktivera nyckel.

Återställa en nyckel

Återställ en inaktiverad nyckel om du vill att den ska kunna användas för att läsa extrakt som den har skrivit.Åtgärden Återställ nyckel är bara tillgänglig för en inaktiverad nyckel och ändrar den till Arkiverad.

När du återställer en nyckel till arkiverad status används den inte för att skriva några extrakt.Den används bara för att läsa extrakt som den har skrivit.

1. Logga in på Tableau Cloud-platsen.
2. Välj Inställningar i den vänstra navigeringsrutan.
3. Välj fliken Säkerhet.
4. I avsnittet Extraktkryptering väljer du åtgärder (...) bredvid relevant inaktiverad nyckel.
5. Välj Återställ nyckel ....
6. Välj Återställ nyckel.

Ta bort en nyckel

Du kan inte ta bort extraktkrypteringsnycklar.En nyckel kan bara arkiveras (kan även fortsättningsvis läsa innehåll som den skrivit) eller inaktiveras (kan varken läsa eller skriva).Läs mer i Nyckelstatusar.

Obs! Om du inaktiverar kundhuvudnyckeln i AWS KMS slutar de Tableau-nycklar som härstammar från den att fungera för kryptering eller dekryptering.Och om du tar bort den Tableau-genererade satsen från kundhuvudnyckelns policy i AWS KMS slutar de Tableau-nycklar som härstammar från den också att fungera.

Visa nyckelpolicy

Dialogrutan Nyckelpolicy visar nyckelpolicyns JSON-fil för tillägg i AWS KMS-nyckelpolicyn.Nyckelpolicyns JSON-fil kan läggas till i processen Generera en nyckel eller senare.

Mer information finns i Lägga till nyckelpolicyns JSON-fil i KMS-nyckelpolicyn.

Så här visar du nyckelpolicyns JSON-fil:

1. I avsnittet Extraktkryptering väljer du åtgärder (...) bredvid relevant nyckel.
2. Välj Nyckelpolicy.

Visa nyckelhistorik

Varje rad i tabellen över nyckelhistorik visar en händelse, nyckelstatus efter händelsen samt datum och tid för händelsen.

Så här visar du historiken för en nyckel:

1. I avsnittet Extraktkryptering väljer du åtgärder (...) bredvid relevant nyckel.
2. Välj Nyckelhistorik.

Testa konfiguration

Använd åtgärden Testa konfiguration på en väntande nyckel för att avgöra om den kan aktiveras.Använd åtgärden Testa konfiguration på nycklar med andra statusar för att se om de fungerar, borde fungera eller inte fungerar.

Så här testar du konfigurationen för en nyckel:

1. I avsnittet Extraktkryptering väljer du åtgärder (...) bredvid relevant nyckel.
2. Välj Testa konfiguration ....

Klart:

• Nyckeln kan användas för att kryptera extrakt.Om nyckeln är väntande är det riskfritt att aktivera.Om nyckeln redan är aktiv fungerar den.

Fel:

• POLICY_DENIED – Den externa nyckelhanteringstjänsten har ingen policy som tillåter den här nyckeln.Bekräfta att du har kopierat policyn från den här nyckeln till den externa nyckelhanteringstjänsten.
• KEY_NOT_FOUND – Nyckeln hittades inte eller så har nyckeln inaktiverats i Tableau.Bekräfta AWS KMS-nyckels ARN och policy.
• UNKNOWN – Ett okänt fel har inträffat.Kontrollera att nyckeln inte har inaktiverats i AWS KMS och försök igen.

Obs! Om du inaktiverar kundhuvudnyckeln i AWS KMS slutar de Tableau-nycklar som härstammar från den att fungera för kryptering eller dekryptering.Och om du tar bort den Tableau-genererade satsen från kundhuvudnyckelns policy i AWS KMS slutar de Tableau-nycklar som härstammar från den också att fungera.