將外部 KMS 用於認證加密金鑰
您可以將用於加密和解密已儲存資料認證的主要金鑰，儲存在外部金鑰管理系統 (KMS) 中。透過直接控制加密金鑰，使用外部 KMS 有助於強化組織的安全態勢、符合監管要求並維護資料主權。
有關將外部 KMS 用於金鑰管理之優勢的一般資訊，請參閱將外部 KMS 用於金鑰管理。
附註：若您擁有 Tableau +、Tableau Enterprise 或 Advanced Management，則自 Tableau Cloud 2026 年 8 月起，可使用「用於認證加密金鑰的外部 KMS」功能。若您在某個時間點不再擁有 Tableau +、Tableau Enterprise 或 Advanced Management，仍然可以正常使用加密物件，但將無法管理金鑰。
設定概觀
使用 AWS KMS 儲存資料認證加密金鑰的摘要層級如下：
金鑰狀態
使用外部 KMS 時，Tableau Cloud 中用於認證加密的金鑰具有以下狀態和功能：
- 使用中 — 金鑰用於加密認證，以及解密其加密的認證。
- 已封存 — 金鑰過去曾處於使用中狀態，但已被後續金鑰取代。金鑰未用於加密認證，但用於解密其加密的認證。
- 已停用 — 金鑰過去曾處於使用中狀態，後來被封存，之後已停用。金鑰未用於加密或解密任何認證。
狀態快速參考
| 金鑰狀態 | 可以加密認證 | 可以解密認證 |
|---|---|---|
| 使用中 | ✓ | ✓ |
| 已封存 | ✓ | |
| 已停用 |
設定詳細資訊
設定從以下項目開始：
- 登入 Tableau Cloud 站台。
- 在左側瀏覽窗格中選取「設定」。
- 選取「安全」索引標籤。
1.使用外部 KMS 啟用擷取加密
若要將外部 KMS 用於資料認證加密，請先為擷取加密啟用外部 KMS。請參閱將外部 KMS 用於擷取加密金鑰的「設定詳細資訊」部分。
2.啟用認證加密
若要啟用認證加密：
- 在「認證加密」區段下，選取「加密已儲存認證」。
3.產生資料金鑰
若要加密和解密已儲存資料認證，請產生資料金鑰。
若要產生資料金鑰：
- 在「認證加密」區段下，選取「產生資料金鑰」。
- 在對話方塊中，選取「產生資料金鑰」。請注意，您無法在 7 天內產生多個資料金鑰。若對話方塊不包含產生資料金鑰按鈕，表示您在過去 7 天內已產生資料金鑰。
產生後，新金鑰的狀態為使用中，表示它正用於加密與解密已儲存資料認證。
附註：在站台上啟用加密並啟用第一個金鑰後，Tableau Cloud 會為您站台上的所有資料認證建立加密作業。這些作業會在背景執行，並設定為最低優先順序，表示它們只會在有額外資源時執行。
其他動作
封存金鑰
已封存金鑰可以解密其加密的認證，但不會用於加密認證。封存金鑰的唯一方法是產生新的資料金鑰。請參閱產生資料金鑰。
停用金鑰
停用已封存金鑰，使其無法用於加密或解密任何已儲存認證。若金鑰已遭入侵，可能會執行此動作。「停用金鑰」動作僅適用於「已封存」金鑰。
停用金鑰後，金鑰無法用於解密其加密的認證（與已封存金鑰相反，後者可以解密其加密的認證）。
附註：如有必要，可以還原已停用金鑰。還原金鑰會將其從「已停用」變更為「已封存」。請參閱「還原金鑰」。
要停用金鑰：
- 在「認證加密」區段下，選取適當的「已封存」金鑰旁邊的「動作(...)」。
- 選取「停用金鑰...」。
- 在文字欄位中輸入「Deactive Key」以確認您的動作。
- 選取「停用資料金鑰」。
還原金鑰
還原已停用金鑰，使其可用於解密其加密的認證。還原金鑰動作僅適用於已停用金鑰，並會將其變更為已封存。
將金鑰還原為已封存狀態時，金鑰不會用於加密任何認證。其僅會用於解密其寫入的認證。
- 在「認證加密」區段下，選取適當的「已停用」金鑰旁邊的「動作(...)」。
- 選取「還原金鑰...」。
- 選取「還原資料金鑰」。
刪除金鑰
無法刪除認證加密金鑰。金鑰只能封存（保留解密其寫入認證的功能）或停用（既無法加密也無法解密）。請參閱金鑰狀態。
附註：若在 AWS KMS 中停用客戶主要金鑰 (CMK)，則從其衍生的 Tableau 金鑰會停止用於加密或解密。同樣，如果從 AWS KMS 的 CMK 原則中刪除 Tableau 產生的子句，則其衍生的 Tableau 金鑰將停止工作。