您可以将用于加密和解密存储的数据凭据的主密钥存储在外部密钥管理系统 (KMS) 中。通过提供对加密密钥的直接控制，使用外部 KMS 可以帮助组织增强安全状况、满足法规要求并维护数据主权。

有关使用外部 KMS 进行密钥管理的优势的一般信息，请参见使用外部 KMS 进行密钥管理。

注意：如果您拥有 Tableau +、Tableau Enterprise 或 Advanced Management，则用于凭据加密密钥的外部 KMS 功能自 Tableau Cloud 2026 年 8 月版起可用。如果在某个时候您不再拥有 Tableau +、Tableau Enterprise 或 Advanced Management，您仍可正常使用加密对象，但将无法管理密钥。

设置概述

使用 AWS KMS 存储数据凭据加密密钥的摘要级步骤包括：

1. 使用外部 KMS 启用数据提取加密
2. 启用凭据加密
3. 在 Tableau 中生成数据密钥

设置详细信息

配置时先进行以下操作：

1. 登录到您的 Tableau Cloud 站点。
2. 在左侧导航窗格中选择“设置”。
3. 选择“安全”选项卡。

1.使用外部 KMS 启用数据提取加密

若要使用外部 KMS 进行数据凭据加密，请先为数据提取加密启用外部 KMS。请参见将外部 KMS 用于数据提取加密密钥中的“设置详细信息”部分。

2.启用凭据加密

启用凭据加密：

1. 在“凭据加密”部分下，选择“加密保存的凭据”。

3.生成数据密钥

若要加密和解密已保存的数据凭据，请生成数据密钥。

生成数据密钥：

1. 在“凭据加密”部分下，选择“生成数据密钥”。
2. 在对话框中，选择“生成数据密钥”。请注意，您无法在 7 天内生成多个数据密钥。如果对话框不包含生成数据密钥按钮，则表示您在过去 7 天内已生成数据密钥。

生成后，新密钥的状态为“活动”，这意味着它用于对存储的数据凭据进行加密和解密。

注意：在站点上启用加密并激活第一个密钥后，Tableau Cloud 会为站点上的所有数据凭据创建加密作业。这些作业在后台运行且优先级最低，这意味着它们仅在有额外资源时运行。

其他操作

将密钥存档

已存档的密钥可以解密其加密的凭据，但不用于对其进行加密。存档密钥的唯一方法是生成新的数据密钥。请参见生成数据密钥。

停用密钥

停用已存档的密钥，使其无法用于加密或解密任何存储的凭据。如果密钥已泄露，您可能会执行此操作。“停用密钥”操作仅适用于“已存档”的密钥。

停用密钥时，它不能用于解密它加密的凭据（与已存档密钥相反，已存档密钥可以解密它加密的凭据）。

注意：如有必要，您可以恢复已停用的密钥。恢复密钥会将其从“已停用”更改为“已存档”。请参见“恢复密钥”。

停用密钥：

1. 在“凭据加密”部分下，选择相应“已存档”密钥旁边的操作 (...)。
2. 选择“停用密钥...”。
3. 在文本字段中输入“停用此密钥”以确认您的操作。
4. 选择“停用数据密钥”。

恢复密钥

恢复停用的密钥，使其可用于解密其加密的凭据。“恢复密钥”操作仅适用于“已停用” 密钥，并将其更改为“已存档”。

当您将密钥恢复到已存档状态时，它将不会用于加密任何凭据。它仅用于解密它写入的凭据。

1. 在“凭据加密”部分下，选择相应的“已停用”密钥旁边的操作 (...)。
2. 选择“恢复密钥...”。
3. 选择“恢复数据密钥”。

删除密钥

您无法删除凭据加密密钥。密钥只能存档（保留解密它写入的凭据的能力）或停用（既不能加密也不能解密）。请参见密钥状态。

注意：如果您在 AWS KMS 中禁用客户主密钥 (CMK)，则从其派生的 Tableau 密钥将停止进行加密或解密。同样，如果您从 AWS KMS 中的 CMK 策略中移除 Tableau 生成的子句，则从其派生的 Tableau 密钥将停止工作。