--- schema_version: "1" id: ed07b1b611c99b695dc257445499c0a2cf242f3fb6567c219fbd11b53a3f19d0 title: 將外部 KMS 用於擷取加密金鑰 collection: tableau version: current locale: zh-tw portal_url: https://docs.salesforce.com/tableau/current/zh-tw/online/to_external_kms_extracts.md canonical_url: https://help.tableau.com/current/online/zh-tw/to_external_kms_extracts.htm source_site: help.tableau.com content_type: documentation content_hash: b3b402958c83aa62a30c46ad14d65b773d9b266fc90b69e90f7dc895734faa1a description: 您可以將用於加密和解密擷取的主要金鑰儲存在外部金鑰管理系統 (KMS) 中。透過直接控制加密金鑰，使用外部 KMS 有助於強化組織的安全態勢、符合監管要求並維護資料主權。 --- [跳至主要內容](#main-content) # 將外部 KMS 用於擷取加密金鑰 您可以將用於加密和解密擷取的主要金鑰儲存在外部金鑰管理系統 (KMS) 中。透過直接控制加密金鑰，使用外部 KMS 有助於強化組織的安全態勢、符合監管要求並維護資料主權。 有關將外部 KMS 用於金鑰管理之優勢的一般資訊，請參閱[將外部 KMS 用於金鑰管理](https://help.tableau.com/current/online/zh-tw/to_external_kms.htm)。 附註：若您擁有 Tableau +、Tableau Enterprise 或 Advanced Management，則自 Tableau Cloud 2026 年 2 月起，可使用「用於擷取加密的外部 KMS」功能。若您在某個時間點不再擁有 Tableau +、Tableau Enterprise 或 Advanced Management，仍然可以正常使用加密物件，但將無法管理金鑰。 ## 設定概觀 將 AWS KMS 與 Tableau 搭配使用的摘要層級步驟如下： 1. **AWS KMS**：[建立客戶主要金鑰](#Create) (CMK)。 2. **Tableau Cloud**：[啟用擷取加密](#Enable)（或從使用 Salesforce KMS 的客戶管理的加密金鑰移轉）。 3. **Tableau Cloud**：[在 Tableau 中產生金鑰](#Generate)，使用來自 AWS KMS 的客戶主要金鑰的 ARN。 4. **AWS KMS**：[將 Tableau 金鑰原則](#Policy) JSON 新增到 AWS 客戶主要金鑰的原則中。 5. **Tableau Cloud**：[啟用金鑰](#Activate)。 ### 金鑰狀態 使用外部 KMS 時，Tableau Cloud 中用於擷取加密的金鑰具有以下狀態和功能： - **擱置** — 您已產生金鑰，但尚未使用。啟用前，金鑰無法用於寫入或讀取任何擷取。 - **使用中** — 金鑰用於寫入擷取，以及讀取其寫入的擷取。 - **已封存** — 金鑰過去曾處於使用中狀態，但已被後續金鑰取代。金鑰未用於寫入擷取，但用於讀取其寫入的擷取。 - **已停用** — 金鑰過去曾處於使用中狀態，後來被封存，之後已停用。金鑰未用於讀取或寫入任何擷取。 #### 狀態快速參考 | 金鑰狀態 | 可以寫入/加密擷取 | 可以讀取/解密擷取 | | --- | --- | --- | | 擱置 |   |   | | 使用中 | ✓ | ✓ | | 已封存 |   | ✓ | | 已停用 |   |   | ## 設定詳細資訊 設定從以下項目開始： 1. 登入 Tableau Cloud 站台。 2. 在左側瀏覽窗格中選取「設定」。 3. 選取「安全」索引標籤。 ### 1.在 AWS KMS 中建立主要金鑰 Tableau 用於加密的金鑰基於 [AWS KMS](https://console.aws.amazon.com/kms/) 中存在的客戶主要金鑰 (CMK)。因此，需要先在 AWS KMS 中擁有 CMK，Tableau 才能產生金鑰。 Tableau 金鑰產生對話方塊包含 [AWS KMS](https://console.aws.amazon.com/kms/) 的連結，讓您可以建立 CMK 或取得已存在的 CMK 的相關資訊。若需要有關 AWS KMS 中金鑰的協助，請諮詢本地的金鑰專家。 AWS 金鑰由 Amazon 資源名稱 （ARN） 唯一識別。在 Tableau 金鑰產生過程中，系統會要求您提供 CMK ARN。金鑰 ARN 的格式如下： `arn:aws:kms:us-east-2:123456789012:key/12345678-90ab-cdef-1234-567890abcdef` 在 AWS 中建立客戶主要金鑰後，就可以在 Tableau Cloud 中啟用擷取加密。 ### 2.使用外部 KMS 啟用擷取加密 附註：啟用加密後，無法停用。同樣地，從客戶管理的加密金鑰（使用 Salesforce KMS）切換至外部 KMS 為永久性動作，無法復原。 要啟用外部 KMS： 1. 在「擷取加密」區段下，選取「加密擷取」。 2. 選取「使用外部 KMS」。 - 若已選取「使用 Salesforce KMS」 ，則目前將使用 Salesforce KMS 的客戶管理的加密金鑰。（更多資訊參見 [客戶自管加密金輪](https://help.tableau.com/current/online/zh-tw/to_customer_managed_encryption_keys.htm)。）將設定變更為「使用外部 KMS 」將不可逆地從 Salesforce KMS 變更為外部 KMS。變更 KMS 前，請參閱[從客戶管理的加密金鑰移轉到外部 KMS](https://help.tableau.com/current/online/zh-tw/to_external_kms_migrate.htm)。 3. 選取「產生金錀」。 - 如果要從 Salesforce KMS 移轉到外部 KMS，請閱讀警告，然後選取 切換到外部 KMS。 ### 3.產生金鑰 產生金鑰是讀取和寫入加密擷取的第一個步驟。若您已有一個使用中金鑰，則可產生另一個金鑰，作為取代目前使用中金鑰的第一步。 要在 Tableau 中產生金鑰： 1. 在「擷取加密」區段下，選取「產生金鑰」。 2. 如果要為站台產生第一個金鑰，則會看到「設定 AWS KMS」對話方塊。若已有使用中的金鑰，請首先繼續「產生金鑰 」確認對話方塊。 3. 選取啟動 AWS KMS，並在需要時登入。 4. 在 AWS KMS 中，建立新金鑰或尋找現有金鑰，然後複製金鑰 ARN。若需要有關 AWS KMS 中金鑰的協助，請諮詢本地的金鑰專家。 5. 返回 Tableau 「設定 AWS KMS」對話方塊，並在 AWS 中的金鑰 ARN 欄位中貼上金鑰 ARN。 6. （可選）輸入「描述」。 7. 選取「下一步 」（如果這是站台的第一個金鑰，則選取 「啟用加密」）。 8. 選取「完成」以稍後在 AWS KMS 中新增金鑰原則 JSON，或立即按照[在 KMS 金鑰原則中新增金鑰原則 JSON](#Policy)作業。 在 AWS KMS 原則中新增金鑰原則 JSON 並啟用它前，金鑰不能用於讀取或寫入擷取。 ### 4.將金鑰原則 JSON 新增至 KMS 金鑰原則 新產生的金鑰狀態為擱置。在將金鑰原則 JSON 新增至 AWS KMS 原則並啟用之前，金鑰無法用於讀取或寫入擷取。 要查看金鑰原則 JSON，請從[產生金鑰](#Generate)流程繼續。 或者，若您_沒有_從該流程繼續： 1. 在「擷取加密」區段下，選取適當的「擱置」金鑰旁邊的「動作(...)」。 2. 選取「金錀原則」。 若要將金鑰原則 JSON 新增至 AWS KMS 原則，請將相關的 `Statement` 物件從 Tableau 複製到 AWS KMS 中的原則 JSON。您只需要完整 JSON 文字的一部分。請記住，選取複製金鑰原則以便在文字編輯器中貼上和編輯，可能會更容易。 從 JSON 文字中，複製 `Statement` 陣列中的物件。然後，在 AWS KMS 金鑰的原則中，按照標準 JSON 語法，將複製的文字新增至 `Statement` 陣列中。（在新增新的 JSON 之前，可能需要在現有 AWS KMS `Statement` 陣列的末尾新增一個逗號。） 範例： 醒目提示的部分是要新增至 AWS KMS 原則的部分： ``` { "Version": "2012-10-17", "Id": "sfdc-key-access-policy", "Statement": [{ "Sid": "AllowSalesforceShieldKeyBroker1234567890abc", "Effect": "Allow", "Principal": { "AWS": "arn:aws:sts::123456789abc:assumed-role/EkmAwsKmsAccessRole/1234567890abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ12" }, "Action": [ "kms:GenerateDataKey*", "kms:Decrypt" ], "Resource": "*", "Condition": { "StringEquals": { "kms:EncryptionContext:sf-auth": "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQ" } } }] } ``` ### 5.啟用金鑰 啟用金鑰，使用它讀取和寫入新擷取。「啟用金鑰」動作僅適用於「擱置」的金鑰。 1. 在「擷取加密」區段下，選取適當的「擱置」金鑰旁邊的「動作(...)」。 2. 選取「啟用金鑰...」。 若您已有使用中金鑰，啟用新金鑰會將現有金鑰狀態變更為已封存。已封存金鑰僅用於讀取其寫入的擷取。該新金鑰將變為「使用中」狀態，並且將用於寫入新擷取和讀取它寫入的擷取。 附註：在站台上啟用加密並啟動第一個金鑰後，Tableau Cloud 會為站台上的每個擷取建立一個擷取加密背景作業。將這些作業的優先順序設定為最低，即它們僅在有額外資源時執行。在加密擷取之前執行現有擷取重新整理作業。 ## 其他動作 ### 封存金鑰 已封存金鑰可以讀取其寫入的擷取，但不用於寫入新擷取。封存金鑰的唯一方法是啟用新金鑰。請參閱[啟用金鑰](#Activate)。 ### 停用金鑰 停用已封存金鑰，使其無法用於讀取或寫入任何擷取。若金鑰已遭入侵，可能會執行此動作。「停用金鑰」動作僅適用於「已封存」金鑰。 停用金鑰後，金鑰無法用於讀取其寫入的擷取（與已封存金鑰相反，後者可以讀取其寫入的擷取）。這意味著，某些基於擷取的內容如果尚未使用有效金鑰進行加密，則可能會停止工作。如果需要保留對使用舊金鑰的基於擷取的內容的存取權限，請確保在停用舊金鑰前使用活動金鑰重新整理擷取。 附註：如有必要，可以還原已停用金鑰。還原金鑰會將其從「已停用」變更為「已封存」。請參閱[「還原金鑰」](#Restore)。 要停用金鑰： 1. 在「擷取加密」區段下，選取適當的「已封存」金鑰旁邊的「動作(...)」。 2. 選取「停用金鑰...」。 3. 在文字欄位中輸入「Deactive Key」以確認您的動作。 4. 選取「停用金鑰」。 ### 還原金鑰 還原已停用金鑰，使其可用於讀取其寫入的擷取。還原金鑰動作僅適用於已停用金鑰，並會將其變更為已封存。 將金鑰還原為已封存狀態後，金鑰不會用於寫入任何擷取。其僅會用於讀取其寫入的擷取。 1. 登入 Tableau Cloud 站台。 2. 在左側瀏覽窗格中選取「設定」。 3. 選取「安全」索引標籤。 4. 在「擷取加密」區段下，選取適當的「已停用」金鑰旁邊的「動作(...)」。 5. 選取「還原金鑰...」。 6. 選取「還原金鑰」。 ### 刪除金鑰 無法刪除擷取加密金鑰。金鑰只能封存（保留讀取其寫入內容的功能）或停用（既無法讀取也無法寫入）。請參閱[金鑰狀態](#Key)。 附註：若在 AWS KMS 中停用客戶主要金鑰 (CMK)，則從其衍生的 Tableau 金鑰會停止用於加密或解密。同樣，如果從 AWS KMS 的 CMK 原則中刪除 Tableau 產生的子句，則其衍生的 Tableau 金鑰將停止工作。 ### 查看金鑰原則 金鑰原則對話方塊會顯示用於新增到 AWS KMS 金鑰原則的金鑰原則 JSON。可以在[產生金鑰](#Generate)程序中或之後新增金鑰原則 JSON。 有關詳情，請參閱[在 KMS 金錀原則中新增金鑰原則 JSON](#Policy) 。 若要查看金鑰的原則 JSON： 1. 在「擷取加密」區段下，選取適當的金鑰旁邊的「動作(…)」。 2. 選取「金錀原則」。 ### 查看金鑰歷程記錄 金鑰歷程記錄資料表的每一列都會顯示一個事件、事件後的金鑰狀態以及事件的日期和時間。 要查看金鑰的歷史記錄，請： 1. 在「擷取加密」區段下，選取適當的金鑰旁邊的「動作(…)」。 2. 選取「金鑰歷程記錄」。 ### 測試設定 對擱置的金鑰使用「測試設定」動作來確定其是否可以啟用。對具有其他狀態的金鑰使用測試設定動作，以顯示其是否正常運作、應該能正常運作或無法運作。 要測試金鑰的設定： 1. 在「擷取加密」區段下，選取適當的金鑰旁邊的「動作(…)」。 2. 選取「測試設定...」。 **成功：** - 金鑰可用於加密擷取。若金鑰處於擱置狀態，可以安全啟用。若金鑰已處於使用中狀態，則表示其正常運作。 **錯誤：** - POLICY\_DENIED — 外部 KMS 沒有允許此金鑰的原則。確認已將原則從此金鑰複製到外部 KMS。 - KEY\_NOT\_FOUND — 找不到金鑰，或金鑰在 Tableau 中已停用。確認 AWS KMS 金鑰 ARN 與原則。 - UNKNOWN — 發生未知錯誤。請確保在 AWS KMS 中未停用該金鑰，然後再試一次。 附註：若在 AWS KMS 中停用客戶主要金鑰 (CMK)，則從其衍生的 Tableau 金鑰會停止用於加密或解密。同樣，如果從 AWS KMS 的 CMK 原則中刪除 Tableau 產生的子句，則其衍生的 Tableau 金鑰將停止工作。