您可以將用於加密和解密擷取的主要金鑰儲存在外部金鑰管理系統 (KMS) 中。透過直接控制加密金鑰，使用外部 KMS 有助於強化組織的安全態勢、符合監管要求並維護資料主權。

有關將外部 KMS 用於金鑰管理之優勢的一般資訊，請參閱將外部 KMS 用於金鑰管理。

附註：若您擁有 Tableau +、Tableau Enterprise 或 Advanced Management，則自 Tableau Cloud 2026 年 2 月起，可使用「用於擷取加密的外部 KMS」功能。若您在某個時間點不再擁有 Tableau +、Tableau Enterprise 或 Advanced Management，仍然可以正常使用加密物件，但將無法管理金鑰。

設定概觀

將 AWS KMS 與 Tableau 搭配使用的摘要層級步驟如下：

1. AWS KMS：建立客戶主要金鑰 (CMK)。
2. Tableau Cloud：啟用擷取加密（或從使用 Salesforce KMS 的客戶管理的加密金鑰移轉）。
3. Tableau Cloud：在 Tableau 中產生金鑰，使用來自 AWS KMS 的客戶主要金鑰的 ARN。
4. AWS KMS：將 Tableau 金鑰原則 JSON 新增到 AWS 客戶主要金鑰的原則中。
5. Tableau Cloud：啟用金鑰。

設定詳細資訊

設定從以下項目開始：

1. 登入 Tableau Cloud 站台。
2. 在左側瀏覽窗格中選取「設定」。
3. 選取「安全」索引標籤。

1.在 AWS KMS 中建立主要金鑰

Tableau 用於加密的金鑰基於 AWS KMS(連結在新視窗開啟) 中存在的客戶主要金鑰 (CMK)。因此，需要先在 AWS KMS 中擁有 CMK，Tableau 才能產生金鑰。

Tableau 金鑰產生對話方塊包含 AWS KMS(連結在新視窗開啟) 的連結，讓您可以建立 CMK 或取得已存在的 CMK 的相關資訊。若需要有關 AWS KMS 中金鑰的協助，請諮詢本地的金鑰專家。

AWS 金鑰由 Amazon 資源名稱 （ARN） 唯一識別。在 Tableau 金鑰產生過程中，系統會要求您提供 CMK ARN。金鑰 ARN 的格式如下：

arn:aws:kms:us-east-2:123456789012:key/12345678-90ab-cdef-1234-567890abcdef

在 AWS 中建立客戶主要金鑰後，就可以在 Tableau Cloud 中啟用擷取加密。

2.使用外部 KMS 啟用擷取加密

附註：啟用加密後，無法停用。同樣地，從客戶管理的加密金鑰（使用 Salesforce KMS）切換至外部 KMS 為永久性動作，無法復原。

要啟用外部 KMS：

1. 在「擷取加密」區段下，選取「加密擷取」。
2. 選取「使用外部 KMS」。
   • 若已選取「使用 Salesforce KMS」 ，則目前將使用 Salesforce KMS 的客戶管理的加密金鑰。（更多資訊參見 客戶自管加密金輪(連結在新視窗開啟)。）將設定變更為「使用外部 KMS 」將不可逆地從 Salesforce KMS 變更為外部 KMS。變更 KMS 前，請參閱從客戶管理的加密金鑰移轉到外部 KMS。
3. 選取「產生金錀」。
   • 如果要從 Salesforce KMS 移轉到外部 KMS，請閱讀警告，然後選取 切換到外部 KMS。

3.產生金鑰

產生金鑰是讀取和寫入加密擷取的第一個步驟。若您已有一個使用中金鑰，則可產生另一個金鑰，作為取代目前使用中金鑰的第一步。

要在 Tableau 中產生金鑰：

1. 在「擷取加密」區段下，選取「產生金鑰」。
2. 如果要為站台產生第一個金鑰，則會看到「設定 AWS KMS」對話方塊。若已有使用中的金鑰，請首先繼續「產生金鑰 」確認對話方塊。
3. 選取啟動 AWS KMS，並在需要時登入。
4. 在 AWS KMS 中，建立新金鑰或尋找現有金鑰，然後複製金鑰 ARN。若需要有關 AWS KMS 中金鑰的協助，請諮詢本地的金鑰專家。
5. 返回 Tableau 「設定 AWS KMS」對話方塊，並在 AWS 中的金鑰 ARN 欄位中貼上金鑰 ARN。
6. （可選）輸入「描述」。
7. 選取「下一步 」（如果這是站台的第一個金鑰，則選取 「啟用加密」）。
8. 選取「完成」以稍後在 AWS KMS 中新增金鑰原則 JSON，或立即按照在 KMS 金鑰原則中新增金鑰原則 JSON作業。

在 AWS KMS 原則中新增金鑰原則 JSON 並啟用它前，金鑰不能用於讀取或寫入擷取。

4.將金鑰原則 JSON 新增至 KMS 金鑰原則

新產生的金鑰狀態為擱置。在將金鑰原則 JSON 新增至 AWS KMS 原則並啟用之前，金鑰無法用於讀取或寫入擷取。

要查看金鑰原則 JSON，請從產生金鑰流程繼續。

或者，若您沒有從該流程繼續：

1. 在「擷取加密」區段下，選取適當的「擱置」金鑰旁邊的「動作(...)」。
2. 選取「金錀原則」。

若要將金鑰原則 JSON 新增至 AWS KMS 原則，請將相關的 Statement 物件從 Tableau 複製到 AWS KMS 中的原則 JSON。您只需要完整 JSON 文字的一部分。請記住，選取複製金鑰原則以便在文字編輯器中貼上和編輯，可能會更容易。

從 JSON 文字中，複製 Statement 陣列中的物件。然後，在 AWS KMS 金鑰的原則中，按照標準 JSON 語法，將複製的文字新增至 Statement 陣列中。（在新增新的 JSON 之前，可能需要在現有 AWS KMS Statement 陣列的末尾新增一個逗號。）

{
    "Version": "2012-10-17",
    "Id": "sfdc-key-access-policy",
    "Statement": [
{
            "Sid": "AllowSalesforceShieldKeyBroker1234567890abc",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:sts::123456789abc:assumed-role/EkmAwsKmsAccessRole/1234567890abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ12"
            },
            "Action": [
                "kms:GenerateDataKey*",
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:sf-auth": "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQ"
                }
            }
        }
]
}

5.啟用金鑰

啟用金鑰，使用它讀取和寫入新擷取。「啟用金鑰」動作僅適用於「擱置」的金鑰。

1. 在「擷取加密」區段下，選取適當的「擱置」金鑰旁邊的「動作(...)」。
2. 選取「啟用金鑰...」。

若您已有使用中金鑰，啟用新金鑰會將現有金鑰狀態變更為已封存。已封存金鑰僅用於讀取其寫入的擷取。該新金鑰將變為「使用中」狀態，並且將用於寫入新擷取和讀取它寫入的擷取。

附註：在站台上啟用加密並啟動第一個金鑰後，Tableau Cloud 會為站台上的每個擷取建立一個擷取加密背景作業。將這些作業的優先順序設定為最低，即它們僅在有額外資源時執行。在加密擷取之前執行現有擷取重新整理作業。

其他動作

封存金鑰

已封存金鑰可以讀取其寫入的擷取，但不用於寫入新擷取。封存金鑰的唯一方法是啟用新金鑰。請參閱啟用金鑰。

停用金鑰

停用已封存金鑰，使其無法用於讀取或寫入任何擷取。若金鑰已遭入侵，可能會執行此動作。「停用金鑰」動作僅適用於「已封存」金鑰。

停用金鑰後，金鑰無法用於讀取其寫入的擷取（與已封存金鑰相反，後者可以讀取其寫入的擷取）。這意味著，某些基於擷取的內容如果尚未使用有效金鑰進行加密，則可能會停止工作。如果需要保留對使用舊金鑰的基於擷取的內容的存取權限，請確保在停用舊金鑰前使用活動金鑰重新整理擷取。

附註：如有必要，可以還原已停用金鑰。還原金鑰會將其從「已停用」變更為「已封存」。請參閱「還原金鑰」。

要停用金鑰：

1. 在「擷取加密」區段下，選取適當的「已封存」金鑰旁邊的「動作(...)」。
2. 選取「停用金鑰...」。
3. 在文字欄位中輸入「Deactive Key」以確認您的動作。
4. 選取「停用金鑰」。

還原金鑰

還原已停用金鑰，使其可用於讀取其寫入的擷取。還原金鑰動作僅適用於已停用金鑰，並會將其變更為已封存。

將金鑰還原為已封存狀態後，金鑰不會用於寫入任何擷取。其僅會用於讀取其寫入的擷取。

1. 登入 Tableau Cloud 站台。
2. 在左側瀏覽窗格中選取「設定」。
3. 選取「安全」索引標籤。
4. 在「擷取加密」區段下，選取適當的「已停用」金鑰旁邊的「動作(...)」。
5. 選取「還原金鑰...」。
6. 選取「還原金鑰」。

刪除金鑰

無法刪除擷取加密金鑰。金鑰只能封存（保留讀取其寫入內容的功能）或停用（既無法讀取也無法寫入）。請參閱金鑰狀態。

附註：若在 AWS KMS 中停用客戶主要金鑰 (CMK)，則從其衍生的 Tableau 金鑰會停止用於加密或解密。同樣，如果從 AWS KMS 的 CMK 原則中刪除 Tableau 產生的子句，則其衍生的 Tableau 金鑰將停止工作。

查看金鑰原則

金鑰原則對話方塊會顯示用於新增到 AWS KMS 金鑰原則的金鑰原則 JSON。可以在產生金鑰程序中或之後新增金鑰原則 JSON。

有關詳情，請參閱在 KMS 金錀原則中新增金鑰原則 JSON 。

若要查看金鑰的原則 JSON：

1. 在「擷取加密」區段下，選取適當的金鑰旁邊的「動作(…)」。
2. 選取「金錀原則」。

查看金鑰歷程記錄

金鑰歷程記錄資料表的每一列都會顯示一個事件、事件後的金鑰狀態以及事件的日期和時間。

要查看金鑰的歷史記錄，請：

1. 在「擷取加密」區段下，選取適當的金鑰旁邊的「動作(…)」。
2. 選取「金鑰歷程記錄」。

測試設定

對擱置的金鑰使用「測試設定」動作來確定其是否可以啟用。對具有其他狀態的金鑰使用測試設定動作，以顯示其是否正常運作、應該能正常運作或無法運作。

要測試金鑰的設定：

1. 在「擷取加密」區段下，選取適當的金鑰旁邊的「動作(…)」。
2. 選取「測試設定...」。

成功：

• 金鑰可用於加密擷取。若金鑰處於擱置狀態，可以安全啟用。若金鑰已處於使用中狀態，則表示其正常運作。

錯誤：

• POLICY_DENIED — 外部 KMS 沒有允許此金鑰的原則。確認已將原則從此金鑰複製到外部 KMS。
• KEY_NOT_FOUND — 找不到金鑰，或金鑰在 Tableau 中已停用。確認 AWS KMS 金鑰 ARN 與原則。
• UNKNOWN — 發生未知錯誤。請確保在 AWS KMS 中未停用該金鑰，然後再試一次。

附註：若在 AWS KMS 中停用客戶主要金鑰 (CMK)，則從其衍生的 Tableau 金鑰會停止用於加密或解密。同樣，如果從 AWS KMS 的 CMK 原則中刪除 Tableau 產生的子句，則其衍生的 Tableau 金鑰將停止工作。