將外部 KMS 用於認證加密金鑰

您可以將用於加密和解密已儲存資料認證的主要金鑰，儲存在外部金鑰管理系統 (KMS) 中。透過直接控制加密金鑰，使用外部 KMS 有助於強化組織的安全態勢、符合監管要求並維護資料主權。

有關將外部 KMS 用於金鑰管理之優勢的一般資訊，請參閱將外部 KMS 用於金鑰管理。

附註：若您擁有 Tableau +、Tableau Enterprise 或 Advanced Management，則自 Tableau Cloud 2026 年 8 月起，可使用「用於認證加密金鑰的外部 KMS」功能。若您在某個時間點不再擁有 Tableau +、Tableau Enterprise 或 Advanced Management，仍然可以正常使用加密物件，但將無法管理金鑰。

設定概觀

使用 AWS KMS 儲存資料認證加密金鑰的摘要層級如下：

1. 使用外部 KMS 啟用擷取加密
2. 啟用認證加密
3. 在 Tableau 中產生資料金鑰

設定詳細資訊

設定從以下項目開始：

1. 登入 Tableau Cloud 站台。
2. 在左側瀏覽窗格中選取「設定」。
3. 選取「安全」索引標籤。

1.使用外部 KMS 啟用擷取加密

若要將外部 KMS 用於資料認證加密，請先為擷取加密啟用外部 KMS。請參閱將外部 KMS 用於擷取加密金鑰的「設定詳細資訊」部分。

2.啟用認證加密

若要啟用認證加密：

1. 在「認證加密」區段下，選取「加密已儲存認證」。

3.產生資料金鑰

若要加密和解密已儲存資料認證，請產生資料金鑰。

若要產生資料金鑰：

1. 在「認證加密」區段下，選取「產生資料金鑰」。
2. 在對話方塊中，選取「產生資料金鑰」。請注意，您無法在 7 天內產生多個資料金鑰。若對話方塊不包含產生資料金鑰按鈕，表示您在過去 7 天內已產生資料金鑰。

產生後，新金鑰的狀態為使用中，表示它正用於加密與解密已儲存資料認證。

附註：在站台上啟用加密並啟用第一個金鑰後，Tableau Cloud 會為您站台上的所有資料認證建立加密作業。這些作業會在背景執行，並設定為最低優先順序，表示它們只會在有額外資源時執行。

其他動作

封存金鑰

已封存金鑰可以解密其加密的認證，但不會用於加密認證。封存金鑰的唯一方法是產生新的資料金鑰。請參閱產生資料金鑰。

停用金鑰

停用已封存金鑰，使其無法用於加密或解密任何已儲存認證。若金鑰已遭入侵，可能會執行此動作。「停用金鑰」動作僅適用於「已封存」金鑰。

停用金鑰後，金鑰無法用於解密其加密的認證（與已封存金鑰相反，後者可以解密其加密的認證）。

附註：如有必要，可以還原已停用金鑰。還原金鑰會將其從「已停用」變更為「已封存」。請參閱「還原金鑰」。

要停用金鑰：

1. 在「認證加密」區段下，選取適當的「已封存」金鑰旁邊的「動作(...)」。
2. 選取「停用金鑰...」。
3. 在文字欄位中輸入「Deactive Key」以確認您的動作。
4. 選取「停用資料金鑰」。

還原金鑰

還原已停用金鑰，使其可用於解密其加密的認證。還原金鑰動作僅適用於已停用金鑰，並會將其變更為已封存。

將金鑰還原為已封存狀態時，金鑰不會用於加密任何認證。其僅會用於解密其寫入的認證。

1. 在「認證加密」區段下，選取適當的「已停用」金鑰旁邊的「動作(...)」。
2. 選取「還原金鑰...」。
3. 選取「還原資料金鑰」。

刪除金鑰

無法刪除認證加密金鑰。金鑰只能封存（保留解密其寫入認證的功能）或停用（既無法加密也無法解密）。請參閱金鑰狀態。

附註：若在 AWS KMS 中停用客戶主要金鑰 (CMK)，則從其衍生的 Tableau 金鑰會停止用於加密或解密。同樣，如果從 AWS KMS 的 CMK 原則中刪除 Tableau 產生的子句，則其衍生的 Tableau 金鑰將停止工作。