É possível armazenar as chaves principais usadas para criptografar e descriptografar credenciais de dados armazenadas em um sistema de gerenciamento de chaves externo (KMS).Ao fornecer controle direto sobre as chaves de criptografia, o uso de um KMS externo pode ajudar a melhorar a postura de segurança das organizações, atender a exigências regulatórias e manter a soberania dos dados.
Para obter informações gerais sobre os benefícios de usar um KMS externo para gerenciamento de chaves, consulte Usar um KMS externo para gerenciamento de chaves.
Observação: o recurso KMS externo para chaves de criptografia de credenciais está disponível a partir da versão de agosto de 2026 do Tableau Cloud para quem tem Tableau+, Tableau Enterprise ou Advanced Management.Se em algum momento você não tiver mais o Tableau+, o Tableau Enterprise ou o Advanced Management, ainda será possível trabalhar com seus objetos criptografados, mas não será possível gerenciar chaves.
Visão geral da configuração
As etapas gerais para usar o KMS do AWS para armazenar chaves de criptografia de credenciais de dados são:
- Habilitar a criptografia de extração usando um KMS externo
- Habilitar a criptografia de credenciais
- Gerar uma chave de dados no Tableau
Status de chaves
Ao usar um KMS externo, as chaves usadas para criptografia de credenciais no Tableau Cloud têm estes status e recursos:
- Ativa — A chave está sendo usada para criptografar credenciais e descriptografar credenciais que ela criptografou.
- Arquivada — A chave estava ativa no passado, mas foi substituída por uma chave posterior.Não está sendo usada para criptografar credenciais, mas está sendo usada para descriptografar credenciais que ela criptografou.
- Desativada — A chave estava ativa no passado, foi arquivada posteriormente e, desde então, foi desativada.Não está sendo usada para criptografar ou descriptografar nenhuma credencial.
Referência rápida de status
| Status da chave | Pode criptografar credenciais | Pode descriptografar credenciais |
|---|---|---|
| Ativa | ✓ | ✓ |
| Arquivada | ✓ | |
| Desativada |
Detalhes da instalação
A configuração começa com:
- Faça logon no site do Tableau Cloud.
- Selecione Configurações no painel de navegação esquerdo.
- Selecione a guia Segurança.
1.Habilitar a criptografia de extração usando um KMS externo
Para usar um KMS externo para criptografia de credenciais de dados, habilite primeiro o KMS externo para criptografia de extração.Consulte a seção “Detalhes da configuração” em Usar um KMS externo para chaves de criptografia de extração.
2.Habilitar a criptografia de credenciais
Para habilitar a criptografia de credenciais:
- Na seção Criptografia de credenciais, selecione Criptografar credenciais salvas.
3.Gerar uma chave de dados
Para criptografar e descriptografar credenciais de dados salvas, gere uma chave de dados.
Para gerar uma chave de dados:
- Na seção Criptografia de credenciais, selecione Gerar chave de dados.
- Na caixa de diálogo, selecione Gerar chave de dados.Observe que não é possível gerar mais de uma chave de dados em um período de 7 dias.Se a caixa de diálogo não contém o botão Gerar chave de dados, isso significa que uma chave de dados foi gerada nos últimos 7 dias.
Após a geração, o status da nova chave é Ativa, o que significa que ela está sendo usada para criptografar e descriptografar credenciais de dados armazenadas.
Observação: depois de você habilitar a criptografia e ativar a primeira chave em um site, o Tableau Cloud cria trabalhos de criptografia para todas as credenciais de dados em seu site.Esses trabalhos são executados em segundo plano e são definidos com a prioridade mais baixa, o que significa que são executados somente quando há recursos adicionais.
Outras ações
Arquivar uma chave
As chaves arquivadas podem descriptografar as credenciais que criptografaram, mas não são usadas para criptografá-las.A única maneira de arquivar uma chave é gerando uma nova chave de dados.Consulte Gerar uma chave de dados.
Desativar uma chave
Desative uma chave arquivada para torná-la inutilizável para criptografar ou descriptografar quaisquer credenciais armazenadas.Você poderá fazer isso se a chave tiver sido comprometida.A ação Desativar chave só está disponível em uma chave Arquivada.
Quando você desativa uma chave, ela não pode ser usada para descriptografar as credenciais que criptografou (ao contrário de uma chave arquivada, que pode descriptografar as credenciais que criptografou).
Observação: é possível Restaurar uma chave desativada, se necessário.A restauração de uma chave a mudará de Desativada para Arquivada.Consulte Restaurar uma chave.
Para desativar uma chave:
- Na seção Criptografia de credenciais, selecione ações (...) ao lado da chave Arquivada apropriada.
- Selecione Desativar chave....
- Digite “Desativar esta chave” no campo de texto para confirmar sua ação.
- Selecione Desativar chave de dados.
Restaurar uma chave
Restaure uma chave desativada para torná-la utilizável para descriptografar as credenciais que ela criptografou.A ação Restaurar chave só está disponível em uma chave Desativada e a altera para Arquivada.
Quando você restaurar uma chave para o estado arquivado, ela não será usada para criptografar nenhuma credencial.Ela é usada apenas para descriptografar credenciais que gravou.
- Na seção Criptografia de credenciais, selecione ações (...) ao lado da chave Desativada apropriada.
- Selecione Restaurar chave....
- Selecione Restaurar chave de dados.
Excluir uma chave
Não é possível excluir as chaves de criptografia de credenciais.Uma chave só pode ser arquivada (o que mantém a capacidade de descriptografar as credenciais que ela gravou) ou desativada (que não pode criptografar nem descriptografar).Consulte Status de chaves.
Observação: se você desabilitar a chave principal do cliente (CMK) no KMS do AWS, as chaves do Tableau derivadas dela deixarão de funcionar para criptografia ou descriptografia.Da mesma forma, se você remover a cláusula gerada pelo Tableau da política da CMK no KMS do AWS, as chaves do Tableau derivadas dela vão param de funcionar.