คุณสามารถจัดเก็บคีย์หลักที่คุณใช้เพื่อเข้ารหัสและถอดรหัสการแยกข้อมูลในระบบการจัดการคีย์ภายนอก (KMS) เมื่อมีการควบคุมคีย์การเข้ารหัสโดยตรง การใช้ KMS ภายนอกสามารถช่วยในการปรับปรุงมาตรการรักษาความปลอดภัยสำหรับองค์กร ปฏิบัติตามข้อบังคับ และรักษาอธิปไตยของข้อมูล

ดูข้อมูลทั่วไปเกี่ยวกับประโยชน์ของการใช้ KMS ภายนอกสำหรับการจัดการคีย์ได้ที่ใช้ KMS ภายนอกสำหรับการจัดการคีย์

หมายเหตุ: ฟีเจอร์ KMS ภายนอกสำหรับการเข้ารหัสการแยกข้อมูลจะพร้อมใช้งานตั้งแต่ Tableau Cloud เวอร์ชันเดือนกุมภาพันธ์ 2026 เป็นต้นไป หากคุณมี Tableau +, Tableau Enterprise หรือ Advanced Management หากในบางจุดคุณไม่มี Tableau+, Tableau Enterprise หรือ Advanced Management อีกต่อไป การทำงานกับออบเจ็กต์ที่เข้ารหัสของคุณจะยังคงใช้งานได้ แต่คุณจะไม่สามารถจัดการคีย์ได้

ภาพรวมการตั้งค่า

ขั้นตอนสรุปในการใช้ KMS AWS กับ Tableau มีดังนี้

1. AWS KMS: สร้างคีย์หลักของลูกค้า (CMK)
2. Tableau Cloud: เปิดใช้งานการเข้ารหัสการแยกข้อมูล (หรือย้ายข้อมูลจากคีย์การเข้ารหัสที่จัดการโดยลูกค้า ซึ่งใช้ Salesforce KMS)
3. Tableau Cloud: สร้างคีย์ใน Tableau โดยใช้ ARN ของคีย์หลักของลูกค้าจาก AWS KMS
4. AWS KMS: เพิ่ม JSON นโยบายคีย์ Tableau ให้กับนโยบายคีย์หลักของลูกค้า AWS
5. Tableau Cloud: เปิดใช้งานคีย์

รายละเอียดการตั้งค่า

การกำหนดค่าเริ่มต้นด้วย:

1. เข้าสู่ระบบไซต์ Tableau Cloud
2. เลือกการตั้งค่าในบานหน้าต่างนำทางด้านซ้าย
3. เลือกแท็บความปลอดภัย

1. สร้างคีย์หลักใน AWS KMS

คีย์ที่ Tableau ใช้สำหรับการเข้ารหัสจะอิงตามคีย์หลักของลูกค้า (CMK) ที่มีอยู่ใน AWS KMS(ลิงก์จะเปิดในหน้าต่างใหม่) ดังนั้น คุณต้องมี CMK ใน AWS KMS ก่อน Tableau จึงจะสามารถสร้างคีย์ได้

กล่องโต้ตอบการสร้างคีย์ Tableau มีลิงก์ไปยัง AWS KMS(ลิงก์จะเปิดในหน้าต่างใหม่) เพื่อให้คุณสามารถสร้าง CMK หรือรับข้อมูลเกี่ยวกับ CMK ที่มีอยู่แล้วได้ หากคุณต้องการความช่วยเหลือเกี่ยวกับคีย์ใน AWS KMS โปรดปรึกษากับผู้เชี่ยวชาญด้านคีย์ในพื้นที่ของคุณ

คีย์ AWS จะถูกระบุแบบไม่ซ้ำกันด้วย Amazon Resource Name (ARN) ระบบจะขอให้คุณระบุ CMK ARN ในระหว่างกระบวนการสร้างคีย์ของ Tableau ARN ของคีย์มีรูปแบบดังนี้

arn:aws:kms:us-east-2:123456789012:key/12345678-90ab-cdef-1234-567890abcdef

หลังจากสร้างคีย์หลักของลูกค้าใน AWS แล้ว คุณจะสามารถเปิดใช้งานการเข้ารหัสการแยกข้อมูลใน Tableau Cloud ได้

2. เปิดใช้งานการเข้ารหัสการแยกข้อมูลด้วย KMS ภายนอก

หมายเหตุ: หลังจากเปิดใช้งานการเข้ารหัสแล้ว คุณจะไม่สามารถปิดใช้งานได้ ในทำนองเดียวกัน การเปลี่ยนจากคีย์การเข้ารหัสที่จัดการโดยลูกค้า (โดยใช้ Salesforce KMS) เป็น KMS ภายนอกนั้นเป็นการดำเนินการถาวร และไม่สามารถเลิกทำได้

วิธีการเปิดใช้งาน KMS ภายนอก

1. ในส่วนการเข้ารหัสการแยกข้อมูล ให้เลือกเข้ารหัสการแยกข้อมูล
2. เลือกใช้ KMS ภายนอก
   • หากเลือกใช้ Salesforce KMS ไว้แล้ว แสดงว่าคุณกำลังใช้คีย์การเข้ารหัสที่จัดการโดยลูกค้าผ่าน Salesforce KMS (หากต้องการข้อมูลเพิ่มเติม โปรดดูคีย์การเข้ารหัสที่จัดการโดยลูกค้า(ลิงก์จะเปิดในหน้าต่างใหม่)) การเปลี่ยนการตั้งค่าเป็นใช้ KMS ภายนอกจะเปลี่ยนจาก Salesforce KMS เป็น KMS ภายนอกอย่างถาวร ก่อนที่คุณจะเปลี่ยน KMS โปรดดูย้ายจากคีย์การเข้ารหัสที่จัดการโดยลูกค้าไปยัง KMS ภายนอก
3. เลือกสร้างคีย์
   • หากคุณจะย้ายจาก Salesforce KMS ไปยัง KMS ภายนอก โปรดอ่านคำเตือน จากนั้นเลือกสลับไปเป็น KMS ภายนอก

3. สร้างคีย์

การสร้างคีย์เป็นขั้นตอนแรกในการอ่านและเขียนการแยกข้อมูลที่เข้ารหัส หากคุณมีคีย์ที่ใช้งานอยู่แล้ว คุณต้องสร้างอีกคีย์เพื่อเป็นขั้นตอนแรกในการเปลี่ยนคีย์ที่ใช้งานอยู่ในปัจจุบัน

วิธีสร้างคีย์ใน Tableau

1. ในส่วนการเข้ารหัสการแยกข้อมูล ให้เลือกสร้างคีย์
2. หากคุณสร้างคีย์แรกของไซต์ คุณจะเห็นกล่องโต้ตอบกำหนดค่า AWS KMS หากคุณมีคีย์ที่ใช้งานอยู่แล้ว ให้ดำเนินการต่อทางกล่องโต้ตอบยืนยันสร้างคีย์ก่อน
3. เลือกเปิด AWS KMS และเข้าสู่ระบบหากจำเป็น
4. ใน AWS KMS ให้สร้างคีย์ใหม่หรือค้นหาคีย์ที่มีอยู่ จากนั้นคัดลอก ARN ของคีย์ หากคุณต้องการความช่วยเหลือเกี่ยวกับคีย์ใน AWS KMS โปรดปรึกษากับผู้เชี่ยวชาญด้านคีย์ในพื้นที่ของคุณ
5. กลับไปที่ Tableau กำหนดค่ากล่องโต้ตอบ AWS KMS และวาง ARN ของคีย์ลงในฟิลด์ ARN ของคีย์จาก AWS
6. หรือป้อนคำอธิบาย
7. เลือกถัดไป (หรือเปิดใช้งานการเข้ารหัส หากเป็นคีย์แรกสำหรับไซต์)
8. เลือกเสร็จสิ้นเพื่อเพิ่ม JSON นโยบายคีย์ลงใน AWS KMS ในภายหลัง หรือทำตามขั้นตอนเพิ่ม JSON นโยบายคีย์ในนโยบายคีย์ KMS เพื่อดำเนินการทันที

คีย์จะไม่สามารถใช้อ่านหรือเขียนการแยกข้อมูลได้จนกว่าคุณจะเพิ่ม JSON นโยบายคีย์ลงในนโยบาย AWS KMS แล้วจึงเปิดใช้งาน

4. เพิ่ม JSON นโยบายคีย์ในนโยบายคีย์ KMS

คีย์ที่สร้างขึ้นใหม่มีสถานะเป็นรอดำเนินการ ซึ่งจะไม่สามารถใช้อ่านหรือเขียนการแยกข้อมูลได้จนกว่าคุณจะเพิ่ม JSON นโยบายคีย์ลงในนโยบาย AWS KMS แล้วจึงเปิดใช้งาน

หากต้องการดู JSON นโยบายคีย์ ให้ดำเนินการต่อจากกระบวนการสร้างคีย์

หรือหากคุณไม่ได้ดำเนินการต่อจากกระบวนการดังกล่าว ให้ทำดังนี้

1. ในส่วนการเข้ารหัสการแยกข้อมูล ให้เลือกการดำเนินการ (...) ถัดจากคีย์ที่รอดำเนินการที่เกี่ยวข้อง
2. เลือกนโยบายคีย์

ในการเพิ่ม JSON นโยบายคีย์ในนโยบาย AWS KMS ให้คัดลอกออบเจ็กต์ Statement ที่เกี่ยวข้องจาก Tableau ไปยัง JSON นโยบายใน AWS KMS คุณต้องใช้เพียงส่วนหนึ่งของข้อความ JSON เต็มรูปแบบ โปรดทราบว่าการเลือกคัดลอกนโยบายคีย์สำหรับการวางและแก้ไขในเครื่องมือแก้ไขข้อความอาจทำได้ง่ายกว่า

ในข้อความ JSON ให้คัดลอกออบเจ็กต์ในอาร์เรย์ Statement จากนั้น ในนโยบายคีย์ AWS KMS ให้เพิ่มข้อความที่คัดลอกไปยังอาร์เรย์ Statement ตามไวยากรณ์ JSON มาตรฐาน (คุณอาจต้องเพิ่มเครื่องหมายจุลภาคต่อท้ายอาร์เรย์ Statement ของ AWS KMS ที่มีอยู่ก่อนที่จะเพิ่ม JSON ใหม่)

{
    "Version": "2012-10-17",
    "Id": "sfdc-key-access-policy",
    "Statement": [
        {
            "Sid": "AllowSalesforceShieldKeyBroker1234567890abc",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:sts::123456789abc:assumed-role/EkmAwsKmsAccessRole/1234567890abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ12"
            },
            "Action": [
                "kms:GenerateDataKey*",
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:sf-auth": "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQ"
                }
            }
        }
    ]
}

5. เปิดใช้งานคีย์

เปิดใช้งานคีย์เพื่อใช้สำหรับการอ่านและเขียนการแยกข้อมูลใหม่ การดำเนินการเปิดใช้งานคีย์จะมีให้ใช้งานเฉพาะในคีย์ที่รอดำเนินการเท่านั้น

1. ในส่วนการเข้ารหัสการแยกข้อมูล ให้เลือกการดำเนินการ (...) ถัดจากคีย์ที่รอดำเนินการที่เกี่ยวข้อง
2. เลือกเปิดใช้งานคีย์...

หากคุณมีคีย์ที่ใช้งานอยู่แล้ว การเปิดใช้งานคีย์ใหม่จะเปลี่ยนคีย์ที่มีอยู่เป็นสถานะเก็บถาวร คีย์ที่เก็บถาวรจะใช้เพื่ออ่านการแยกข้อมูลที่คีย์นั้นเขียนเท่านั้น คีย์ใหม่จะเปลี่ยนสถานะเป็นใช้งานอยู่ และจะใช้เพื่อเขียนการแยกข้อมูลใหม่และอ่านการแยกข้อมูลที่คีย์นี้เขียน

หมายเหตุ: หลังจากที่คุณเปิดใช้งานการเข้ารหัสและเปิดใช้งานคีย์แรกบนไซต์แล้ว Tableau Cloud จะสร้างงานเบื้องหลังในการเข้ารหัสการแยกข้อมูลสำหรับการแยกข้อมูลแต่ละรายการบนไซต์ของคุณ งานเหล่านี้ถูกกำหนดให้มีลำดับความสำคัญต่ำสุด ซึ่งหมายความว่างานเหล่านี้จะทำงานเมื่อมีทรัพยากรเหลือเพิ่มเติมเท่านั้น งานการรีเฟรชการแยกข้อมูลที่มีอยู่จะทำงานก่อนที่จะเข้ารหัสการแยกข้อมูล

การดำเนินการอื่นๆ

เก็บถาวรคีย์

คีย์ที่เก็บถาวรสามารถอ่านการแยกข้อมูลที่คีย์นั้นเขียนได้ แต่จะไม่ใช้เพื่อเขียนการแยกข้อมูลใหม่ วิธีเดียวที่จะเก็บถาวรคีย์ได้คือการเปิดใช้งานคีย์ใหม่ โปรดดูเปิดใช้งานคีย์

ปิดใช้งานคีย์

ปิดใช้งานคีย์ที่เก็บถาวรเพื่อทำให้อ่านหรือเขียนการแยกข้อมูลไม่ได้ คุณสามารถปิดใช้งานคีย์ได้หากคีย์ถูกเจาะข้อมูล การดำเนินการปิดใช้งานคีย์จะใช้ได้เฉพาะกับคีย์ที่เก็บถาวรเท่านั้น

เมื่อคุณปิดใช้งานคีย์ คุณจะไม่สามารถใช้คีย์นั้นเพื่ออ่านการแยกข้อมูลที่คีย์นั้นเขียนได้ (ต่างจากคีย์ที่เก็บถาวรซึ่งสามารถอ่านการแยกข้อมูลที่คีย์นั้นเขียนได้) ซึ่งหมายความว่าเนื้อหาจากการแยกข้อมูลบางรายการอาจหยุดทำงานหากไม่ได้เข้ารหัสด้วยคีย์ที่ใช้งานอยู่ หากคุณต้องการรักษาการเข้าถึงเนื้อหาจากการแยกข้อมูลที่ใช้คีย์เก่า โปรดตรวจสอบให้แน่ใจว่าได้รีเฟรชการแยกข้อมูลด้วยคีย์ที่ใช้งานอยู่ก่อนที่จะปิดใช้งานคีย์เก่า

หมายเหตุ: คุณสามารถกู้คืนคีย์ที่ปิดใช้งานได้หากจำเป็น การกู้คืนคีย์จะเปลี่ยนสถานะคีย์จากปิดใช้งานเป็นเก็บถาวร โปรดดูกู้คืนคีย์

วิธีปิดใช้งานคีย์

1. ในส่วนการเข้ารหัสการแยกข้อมูล ให้เลือกการดำเนินการ (...) ถัดจากคีย์ที่เก็บถาวรที่เกี่ยวข้อง
2. เลือกปิดใช้งานคีย์...
3. ป้อน “Deactivate this key” (ปิดใช้งานคีย์นี้) ลงในฟิลด์ข้อความเพื่อยืนยันการดำเนินการของคุณ
4. เลือกปิดใช้งานคีย์

กู้คืนคีย์

กู้คืนคีย์ที่ปิดใช้งานเพื่อให้สามารถใช้อ่านการแยกข้อมูลที่คีย์นั้นเขียนได้ การดำเนินการกู้คืนคีย์จะมีให้ใช้งานเฉพาะในคีย์ที่ปิดใช้งาน และเปลี่ยนเป็นคีย์ที่เก็บถาวร

เมื่อคุณกู้คืนคีย์เป็นสถานะเก็บถาวร ระบบจะไม่ใช้คีย์นั้นเพื่อเขียนการแยกข้อมูลใดๆ และจะใช้เพื่ออ่านข้อมูลที่คีย์นั้นเขียนเท่านั้น

1. เข้าสู่ระบบไซต์ Tableau Cloud
2. เลือกการตั้งค่าในบานหน้าต่างนำทางด้านซ้าย
3. เลือกแท็บความปลอดภัย
4. ในส่วนการเข้ารหัสการแยกข้อมูล ให้เลือกการดำเนินการ (...) ถัดจากคีย์ที่ปิดใช้งานที่เกี่ยวข้อง
5. เลือกกู้คืนคีย์...
6. เลือกกู้คืนคีย์

ลบคีย์

คุณไม่สามารถลบคีย์การเข้ารหัสการแยกข้อมูลได้ คุณสามารถเก็บถาวรคีย์ (ซึ่งยังคงความสามารถในการอ่านเนื้อหาที่คีย์นั้นเขียน) หรือปิดใช้งานคีย์ (ซึ่งไม่สามารถอ่านหรือเขียนได้) ได้เท่านั้น ดูที่สถานะคีย์

หมายเหตุ: หากคุณปิดใช้งานคีย์หลักของลูกค้า (CMK) ใน AWS KMS คีย์ของ Tableau ที่รับมาจากคีย์นั้นจะหยุดทำงานสำหรับการเข้ารหัสหรือถอดรหัส ในทำนองเดียวกัน หากคุณลบส่วนคำสั่งที่สร้างโดย Tableau ออกจากนโยบายของ CMK ใน AWS KMS คีย์ของ Tableau ที่รับมาจากส่วนคำสั่งนั้นจะหยุดทำงาน

ดูนโยบายคีย์

กล่องโต้ตอบนโยบายคีย์จะแสดง JSON นโยบายคีย์สำหรับการเพิ่มนโยบายของคีย์ AWS KMS คุณสามารถเพิ่ม JSON นโยบายคีย์ได้ในระหว่างกระบวนการสร้างคีย์ หรือในภายหลัง

หากต้องการข้อมูลเพิ่มเติม โปรดดูเพิ่ม JSON นโยบายคีย์ในนโยบายคีย์ KMS

หากต้องการดู JSON นโยบายของคีย์:

1. ในส่วนการเข้ารหัสการแยกข้อมูล ให้เลือกการดำเนินการ (...) ถัดจากคีย์ที่เกี่ยวข้อง
2. เลือกนโยบายคีย์

ดูประวัติคีย์

แต่ละแถวของตารางประวัติคีย์จะแสดงเหตุการณ์ สถานะคีย์หลังเหตุการณ์นั้น ตลอดจนวันที่และเวลาของเหตุการณ์

วิธีการดูประวัติของคีย์

1. ในส่วนการเข้ารหัสการแยกข้อมูล ให้เลือกการดำเนินการ (...) ถัดจากคีย์ที่เกี่ยวข้อง
2. เลือกประวัติคีย์

การกำหนดค่าการทดสอบ

ใช้การดำเนินการการกำหนดค่าการทดสอบกับคีย์ที่รอดำเนินการเพื่อพิจารณาว่าสามารถเปิดใช้งานคีย์ดังกล่าวได้หรือไม่ ใช้การดำเนินการการกำหนดค่าการทดสอบกับคีย์ที่มีสถานะอื่นๆ เพื่อดูว่าคีย์เหล่านั้นทำงานอยู่ ควรจะทำงาน หรือไม่ทำงาน

วิธีทดสอบการกำหนดค่าสำหรับคีย์

1. ในส่วนการเข้ารหัสการแยกข้อมูล ให้เลือกการดำเนินการ (...) ถัดจากคีย์ที่เกี่ยวข้อง
2. เลือกทดสอบการกำหนดค่า...

สำเร็จ:

• คีย์นี้สามารถใช้เพื่อเข้ารหัสการแยกข้อมูลได้ หากคีย์กำลังรอดำเนินการ คุณจะเปิดใช้งานได้อย่างปลอดภัย หากคีย์มีการใช้งานอยู่แล้ว แสดงว่าคีย์ทำงานอยู่

ข้อผิดพลาด:

• POLICY_DENIED — KMS ภายนอกไม่มีนโยบายที่อนุญาตคีย์นี้ ตรวจสอบยืนยันว่าคุณได้คัดลอกนโยบายจากคีย์นี้ไปยัง KMS ภายนอกแล้ว
• KEY_NOT_FOUND — ไม่พบคีย์ หรือคีย์ถูกปิดใช้งานใน Tableau ตรวจสอบยืนยัน ARN และนโยบายของคีย์ AWS KMS
• UNKNOWN — เกิดข้อผิดพลาดที่ไม่ทราบสาเหตุ ตรวจสอบให้แน่ใจว่าคีย์ไม่ได้ถูกปิดใช้งานใน AWS KMS แล้วลองอีกครั้ง

หมายเหตุ: หากคุณปิดใช้งานคีย์หลักของลูกค้า (CMK) ใน AWS KMS คีย์ของ Tableau ที่รับมาจากคีย์นั้นจะหยุดทำงานสำหรับการเข้ารหัสหรือถอดรหัส ในทำนองเดียวกัน หากคุณลบส่วนคำสั่งที่สร้างโดย Tableau ออกจากนโยบายของ CMK ใน AWS KMS คีย์ของ Tableau ที่รับมาจากส่วนคำสั่งนั้นจะหยุดทำงาน