Salesforce セキュリティガイド
jBring Your Own Key を使用する理由
Shield Platform Encryption の Bring Your Own Key (BYOK) を使用することで、重要なデータへの不正アクセスが発生した場合に、より強固に保護できます。金融データ (クレジットカード番号など)、医療データ (カルテや保険情報など)、またはその他のプライベートなデータ (社会保障番号、住所、電話番号など) を扱う場合に義務付けられる規制要件を満たすのに役立つ場合もあります。鍵素材の設定が完了すれば、通常に Salesforce 組織内で暗号化を行うのと同じように Shield Platform Encryption を使用できます。
| アドオンサブスクリプションとして使用可能なエディション: Enterprise Edition、Performance Edition、および Unlimited Edition。Salesforce Shield の購入が必要です。Summer '15 以降に作成された Developer Edition 組織は無料で使用できます。 |
| Salesforce Classic および Lightning Experience の両方で使用できます。 |
Shield Platform Encryption を使用すると、Salesforce システム管理者は、データ暗号化鍵を不正アクセスから保護しつつ、これらの鍵のライフサイクルを管理できます。組���のテナントの秘密のライフサイクルを制御することで、派生するデータ暗号化鍵のライフサイクルを制御します。または、鍵派生を完全に除外し、最終的なデータ暗号化鍵をアップロードすることもできます。
データ暗号化鍵は Salesforce 内に保存されません。代わりに、顧客データを暗号化または復号化するために鍵が必要になるたびに、必要に応じて主秘密とテナントの秘密から派生します。主秘密は、リリースごとに 1 回、すべてのユーザ向けに、ハードウェアセキュリティモジュール (HSM) によって生成されます。テナントの秘密は、組織に対して一意で、生成、有効化、取り消し、破棄のタイミングを制御できます。
鍵素材の設定には 4 つのオプションがあります。
- Shield 鍵管理サービス (KMS) を使用して、組織固有のテナントの秘密を生成する。
- オンプレミス HSM などの任意のインフラストラクチャを使用して、Salesforce 外でテナントの秘密を生成および管理し、その後、そのテナントの秘密を Salesforce KMS にアップロードする。この方法は一般に「Bring Your Own Key」と呼ばれますが、実際には独自の鍵ではなく、鍵を派生させるための独自のテナントの秘密を使用します。
- Shield KMS 鍵派生プロセスを除外し、Bring Your Own Key サービスを使用する。任意のインフラストラクチャを使用して、テナントの秘密ではなくデータ暗号化鍵を作成し、その後、このデータ暗号化鍵を Shield KMS にアップロードします。鍵ごとに派生を除外すると、Shield KMS は派生プロセスを省略し、この鍵素材を最終的なデータ暗号化鍵として使用します。顧客が指定したデータ暗号化鍵は、顧客が指定したテナントの秘密と同様に循環できます。
- 選択した鍵サービスを使用して鍵素材を生成し、Salesforce の外部に保存します。Salesforce のキャッシュのみの鍵サービスを使用すれば、必要に応じて鍵素材を取得できます。鍵サービスはユーザの鍵素材を、ユーザが設定した安全なチャネルに送信します。その後、鍵素材は暗号化され、即時の暗号化操作および複合化操作用のキャッシュに保存されます。