الإدارة الخارجية للمفاتيح (EKM)
الإدارة الخارجية للمفاتيح (EKM)
تخزين وإدارة مفاتيح التشفير في نظام KMS خارجي مع حماية بيانات Salesforce
تكامل Salesforce Shield في مرحلة المعاينة وغير مفعّل بعد على مستأجري DuoKey Cockpit القياسيين. يشرح هذا الدليل طريقة عمله وإعداده. تواصل مع DuoKey لمناقشة إتاحته لمشروعك.
ما هي الإدارة الخارجية للمفاتيح (EKM)؟
تربط الإدارة الخارجية للمفاتيح في Shield (EKM) تطبيق Salesforce الخاص بك بمفاتيح التشفير المخزَّنة في نظام KMS خارجي. وعلى خلاف أسلوب BYOK التقليدي الذي تُرفَع فيه المفاتيح إلى Salesforce، تجلب EKM المفاتيح من نظام KMS الخارجي عند الحاجة فقط وتخزّنها مؤقتًا في الذاكرة.
تحكّم مطلق في المفاتيح
تبقى المفاتيح في نظام KMS الخارجي الخاص بك في جميع الأوقات
استرجاع عند الطلب
تُجلَب المفاتيح فقط عند الحاجة إليها للعمليات
لا تخزين دائم
لا يُخزّن Salesforce مطلقًا مفاتيح EKM المخبّأة بشكل دائم
إلغاء فوري
ألغِ الوصول في أي وقت من نظام KMS الخاص بك
كيف تعمل EKM في Salesforce Shield مع DuoKey
بالنسبة إلى EKM، يعتمد تشفير منصة Shield على DuoKey KMS (خدمة إدارة المفاتيح الخارجية الخاصة بك) لإنشاء وتأمين مفاتيح تشفير البيانات (DEKs) التي تستخدمها خدمة تشفير منصة Shield. تقيم مفاتيح DEK هذه في ذاكرة التخزين المؤقت المشفَّرة لمفاتيح منصة Shield بحالة مغلَّفة (wrapped). وعند الحاجة إلى عمليات التشفير أو فك التشفير، تمرّر خدمة منصة Shield مفتاح DEK المغلَّف إلى DuoKey KMS ليُفَك تغليفه.
| الإصدار/المتطلب | التفاصيل |
|---|---|
| التجربة | Lightning Experience وSalesforce Classic (غير متوفر في جميع المؤسسات) |
| الإصدارات | Enterprise وPerformance وUnlimited وDeveloper |
| الترخيص | Salesforce Shield أو Shield Platform Encryption |
| الخدمة | خدمة EKM أو خدمة Cache-Only Key |
| الإذن | Manage Encryption Keys |
عملية إعداد EKM
تبدأ العملية عند إنشائك لمفتاح جذري في DuoKey KMS. تُنشئ سياسة تمنح نظام KMS الإقليمي الخاص بـ Salesforce أذونات مهمة:
- إذن لطلب أن يُنشئ DuoKey KMS ويغلّف مفتاح DEK باستخدام المفتاح الجذري
- إذن لطلب أن يفك DuoKey KMS تغليف مفتاح DEK باستخدام المفتاح الجذري للعميل
عملية إعداد EKM
التهيئة الأولية بين DuoKey KMS وSalesforce Shield
إنشاء المفتاح الجذري
يُنشئ مسؤول DuoKey KMS مفتاحًا جذريًا في DuoKey KMS
تكوين سياسة المفتاح
يُنشئ مسؤول Salesforce سياسة مفتاح وينسخها إلى DuoKey KMS
طلب مفتاح DEK
مع وجود السياسة، تطلب خدمة تشفير Salesforce مفتاح DEK للتخزين المحلي
تغليف مفتاح DEK
يستخدم DuoKey KMS المفتاح الجذري لإنشاء وتغليف مفتاح DEK الجديد، ثم يرسله عبر قناة آمنة (TLS/mTLS)
تخزين مفتاح DEK المغلَّف
تخزّن خدمة التشفير مفتاح DEK المغلَّف في جدول TenantSecret
عملية استرجاع مفاتيح EKM
عندما تكتشف خدمة تشفير منصة Shield عمليات تشفير تتطلب مفتاح DEK الخاص بـ EKM، تتحقق من ذاكرة التخزين المؤقت المشفَّرة للمفاتيح. وإذا لم يكن مفتاح DEK غير المغلَّف موجودًا في ذاكرة التخزين المؤقت، تبدأ خدمة تشفير منصة Shield طلبًا عبر سلسلة استرجاع المفتاح الكاملة:
سلسلة استرجاع المفتاح
تدفّق استرجاع المفاتيح
كيف يقوم Salesforce باسترجاع مفاتيح التشفير وتخزينها مؤقتًا من DuoKey
التشفير / فك التشفير باستخدام AES-256
يتم تشفير البيانات في Salesforce — يؤدي إبطال المفتاح من DuoKey إلى تعطيل الوصول فورًا
استرجاع المفتاح خطوة بخطوة
- يصل مستخدم إلى بيانات مشفَّرة أو يحفظها
- تسترجع خدمة تشفير منصة Shield مفتاح DEK المغلَّف من جدول TenantSecret
- تحصل خدمة التشفير على مفتاح DEK المغلَّف من قاعدة بيانات TenantSecret
- يُرسَل الطلب إلى AWS KMS المكوَّن مع External Key Store
- يعيد AWS KMS توجيه الطلب إلى XKS Proxy عبر TLS 1.2+
- يوجّه XKS Proxy الطلب إلى DuoKey Cockpit للتوجيه الذكي
- يعيد DuoKey Cockpit التوجيه إلى DuoKey MPC الذي يفك تغليف مفتاح DEK باستخدام التشفير بالعتبة
- يُعاد مفتاح DEK غير المغلَّف عبر القناة الآمنة إلى Salesforce
- تخزّن خدمة التشفير المفتاح غير المغلَّف في ذاكرة التخزين المؤقت للمفاتيح (في الذاكرة فقط، ولا يُخزّن أبدًا بشكل دائم)
- تُنفّذ الخدمة عمليات التشفير/فك التشفير باستخدام AES-256
نظرة عامة على البنية
بنية EKM مع DuoKey
سلسلة استرجاع المفاتيح الكاملة: Salesforce ← AWS KMS ← XKS Proxy ← DuoKey MPC
توجيه ذكي
يوجّه DuoKey Cockpit الطلبات إلى الخزنة المناسبة بناءً على سياسات المفاتيح
دعم متعدد الخزائن
الاتصال بـ HashiCorp Vault أو CyberArk أو DuoKey MPC أو AWS KMS
تشفير بالعتبة
يوفّر DuoKey MPC الحوسبة متعددة الأطراف لتعزيز الأمان
إدارة موحّدة
واجهة واحدة لإدارة المفاتيح عبر الخلفيات المختلفة
عملية التشفير باستخدام EKM
المستخدم يقدّم البيانات
يحفظ المستخدم بيانات في حقل مشفَّر في Salesforce
التحقق من ذاكرة التخزين المؤقت
يتحقق خادم التطبيق مما إذا كان مفتاح DEK موجودًا في ذاكرة التخزين المؤقت للمفاتيح
استرجاع المفتاح
إن لم يكن مخبّأً، يطلب Salesforce المفتاح بشكل آمن من نظام KMS الخارجي الخاص بك
تخبئة المفتاح
يُخزَّن المفتاح مؤقتًا في الذاكرة (ولا يُخزَّن أبدًا على القرص بشكل دائم)
تشفير البيانات
تُشفَّر البيانات باستخدام تشفير AES بطول 256 بت
التخزين
تُخزَّن البيانات المشفَّرة في قاعدة البيانات
تدفق استرجاع المفتاح
| السيناريو | الوصف | زمن الاستجابة |
|---|---|---|
| إصابة ذاكرة التخزين المؤقت (المسار السريع) | مفتاح DEK موجود بالفعل في ذاكرة التخزين المؤقت. لا حاجة لأي اتصال شبكي بنظام KMS الخارجي. | < 10ms |
| فقدان ذاكرة التخزين المؤقت | لم يُعثر على مفتاح DEK في ذاكرة التخزين المؤقت. يُسترجَع المفتاح من AWS KMS/XKS Proxy ويُخبّأ. | 50-200ms |
خلف الكواليس: تشفير منصة Shield
خلف الكواليس: تشفير Shield
عملية من ثلاث مراحل لتوليد سرّ المستأجر واشتقاق المفتاح وتشفير البيانات
- يستخدم كل سجل IV فريدًا (يمنع تحليل الأنماط)
- لا يُخزَّن DEK أبدًا كنص عادي
- يجعل PBKDF2 هجمات القوة الغاشمة مكلفة حسابيًا
- دعم تدوير المفاتيح دون إعادة تشفير البيانات
المرحلة 1: إنشاء سر المستأجر
- تُنشئ وحدة أمان الأجهزة (HSM) سر مستأجر آمنًا تشفيريًا بطول 256 بت
- يُشفَّر سر المستأجر باستخدام المفتاح الرئيسي لـ Salesforce عبر AES-256-GCM
- يُخزَّن سر المستأجر المشفَّر بشكل آمن في قاعدة البيانات
- يضمن ذلك حماية سر المستأجر أثناء السكون
المرحلة 2: اشتقاق المفتاح (PBKDF2)
- يجمع سر المستأجر + السر الأساسي + التمليح (معرّف المؤسسة)
- يستخدم PBKDF2-HMAC-SHA256 مع 10,000 تكرار
- مُكلِف حسابيًا لمنع هجمات القوة الغاشمة
- يُنشئ مفتاح تشفير بيانات (DEK) بطول 256 بت
- مفتاح DEK فريد لكل مؤسسة ويتغير عند تدوير سر المستأجر
المرحلة 3: تشفير البيانات
- يحصل كل سجل على متجه تهيئة (IV) عشوائي فريد بطول 128 بت
- البيانات النصية الصريحة + IV + DEK هي مدخلات AES-256-CBC
- الناتج: النص المشفَّر + IV + معرّف المفتاح يُخزَّن في قاعدة البيانات
- يمنع IV تحليل الأنماط عبر السجلات
- يتيح معرّف المفتاح تدوير المفاتيح دون نقل البيانات
أنظمة KMS الخارجية المدعومة
خدمة AWS لإدارة المفاتيح (AWS KMS)
AWS KMS خدمة مُدارة تسهّل إنشاء مفاتيح التشفير والتحكّم فيها. وتتكامل بسلاسة مع Salesforce EKM.
| الميزة | الوصف |
|---|---|
| التحقق من HSM | وحدات HSM معتمدة وفق FIPS 140-2 Level 2 |
| تدوير المفاتيح | دعم التدوير التلقائي للمفاتيح |
| تسجيل التدقيق | تسجيل مفصّل عبر AWS CloudTrail |
| التحكم في الوصول | تحكم دقيق عبر سياسات IAM |
| التكرار | تكرار المفاتيح عبر مناطق متعددة |
ما الذي يمكن تشفيره باستخدام EKM؟
التشفير على مستوى الحقول
- الحقول القياسية: تشفير الحقول القياسية الحساسة
- الحقول المخصصة: حقول النص والبريد الإلكتروني والهاتف وعنوان URL
- احتمالي: يمنع التحليل الإحصائي
- حتمي: يتيح عمليات البحث غير الحسّاسة لحالة الأحرف
تشفير Data Cloud
- جميع بيانات Data Cloud: تشفير موارد البيانات
- مفاتيح مُدارة من العميل: استخدام مفاتيح EKM الجذرية
- سياسة مفتاح واحد: مفتاح جذري واحد لكل البيانات
تشفير فهرس البحث
- ملفات فهرس البحث: التشفير بمفاتيح EKM الجذرية
- مفاتيح DEK منفصلة: إنشاء مفاتيح DEK منفصلة للفهارس
متطلبات EKM المسبقة
المتطلبات المسبقة
- ترخيص Salesforce Shield أو Shield Platform Encryption
- وظيفة إضافية لخدمة الإدارة الخارجية للمفاتيح
- إذن المستخدم Manage Encryption Keys
- ترخيص Platform Encryption for Consumption (لـ Data Cloud)
- مفتاح تشفير متماثل في AWS KMS (بطول 256 بت)
- سياسات AWS IAM مكوَّنة بشكل صحيح
- وصول شبكي من Salesforce إلى نقطة نهاية AWS KMS
- اعتماد Salesforce Named Credential مكوَّن لمصادقة AWS
متطلبات قوة المفتاح
| المتطلب | المواصفة |
|---|---|
| الحد الأدنى لحجم المفتاح | مفتاح متماثل بطول 256 بت |
| دعم الخوارزمية | تشفير AES-256 |
| إنشاء المفتاح | مولّد أرقام عشوائية آمن تشفيريًا |
إعداد EKM
إنشاء مفتاح AWS KMS
- سجّل الدخول إلى AWS Management Console
- انتقل إلى AWS Key Management Service
- أنشئ مفتاح تشفير متماثلًا جديدًا (بطول 256 بت)
- كوّن سياسات المفتاح للسماح بوصول Salesforce
- دوّن معرّف المفتاح ومنطقة AWS
تكوين Named Credential
أنشئ Named Credential للمصادقة مع AWS:
- في إعداد Salesforce، انتقل إلى Named Credentials
- أنشئ Named Credential جديدًا بمصادقة AWS Signature Version 4
- كوّن: AWS Access Key ID وAWS Secret Access Key وAWS Region وAWS Service (
kms)
إعداد سياسة تنسيق المفاتيح
- انتقل إلى Setup ← Platform Encryption ← Key Management
- اختر External Key Management
- انقر New EKM Key
- قدّم: معرّف المفتاح (ARN) وAWS Region وNamed Credential والوصف
إنشاء مفتاح تشفير البيانات
- بعد إنشاء مفتاح EKM الجذري، أنشئ مفتاح تشفير بيانات (DEK)
- يُنشأ مفتاح DEK في Salesforce ويُشفَّر بمفتاح EKM الجذري الخاص بك
- يُخزَّن مفتاح DEK المشفَّر في Salesforce لكن لا يمكن فك تشفيره إلا باستخدام مفتاحك الخارجي
التفعيل والاختبار
- فعّل مفتاح EKM في Salesforce
- اختبر الاتصال للتأكد من أن Salesforce يمكنه استرجاع المفتاح
- طبّق المفتاح على سياسة التشفير الخاصة بك
- شفّر حقول اختبار للتحقق من صحة الإعداد
عمليات إدارة المفاتيح
تدوير مفاتيح EKM
يمكن إجراء التدوير دون توقف عن الخدمة. تُؤرشَف المفاتيح القديمة ويُحتفَظ بها لفك تشفير البيانات الحالية. تُشفَّر البيانات الجديدة بالمفتاح الجديد بينما تعيد العمليات الخلفية تشفير البيانات الحالية.
التحقق من اتصال مفتاح EKM
- انتقل إلى Setup ← Platform Encryption ← Key Management
- اختر مفتاح EKM الخاص بك
- انقر Check Connection
- راجع حالة الاتصال وأي رسائل خطأ
تدقيق استخدام مفتاح EKM
| المصدر | الأحداث المتتبَّعة |
|---|---|
| Salesforce Setup Audit Trail | إنشاء المفتاح والتفعيل/إلغاء التفعيل والتدوير وفحوصات الاتصال |
| AWS CloudTrail | طلبات الوصول إلى المفتاح وعمليات فك التشفير وتغييرات السياسة ومحاولات المصادقة |
إلغاء تفعيل مفتاح EKM
يؤدي إلغاء تفعيل مفتاح إلى إخراجه فورًا من ذاكرة التخزين المؤقت لـ Salesforce ويمنع عمليات التشفير الجديدة. تبقى البيانات المشفَّرة الحالية مشفَّرة ويمكن فك تشفيرها إذا كان المفتاح متاحًا في نظام KMS الخارجي.
- انتقل إلى إعدادات مفتاح EKM الخاص بك
- انقر Deactivate
- أكّد الإجراء
EKM في بيئات Sandbox
لا يمكن استخدام مفاتيح الإنتاج إلا لفك التشفير في بيئات sandbox. أنشئ دائمًا مفاتيح جذرية منفصلة مخصصة لبيئات sandbox.
أفضل الممارسات لبيئات Sandbox
- أنشئ مفتاح AWS KMS منفصلًا لبيئات sandbox
- كوّن Named Credentials منفصلة لبيئة sandbox
- بعد تحديث بيئة sandbox، أنشئ مفتاح EKM جذريًا جديدًا لبيئة sandbox
- دوّر جميع مفاتيح DEK في بيئة sandbox لتستخدم المفتاح الجذري الجديد
- لا تستخدم مطلقًا مفاتيح الإنتاج لعمليات تشفير sandbox
اعتبارات حاسمة
توفّر المفتاح: يعتمد تطبيق Salesforce الخاص بك على مفاتيحك الخارجية. إذا أصبح المفتاح غير متاح، فقد يفقد المستخدمون الوصول إلى البيانات المشفَّرة بشكل دائم.
الوقاية من فقدان المفتاح: نفّذ استراتيجيات قوية لتدوير المفاتيح والنسخ الاحتياطي لها كضمانات ضد الفقدان غير المخطَّط له للمفاتيح.
تأثير إلغاء تفعيل المفتاح: إذا لم يكن المفتاح متاحًا، فلن يكون التشفير ولا فك التشفير ممكنًا. سيرى المستخدمون ثلاث علامات استفهام (???) بدلًا من البيانات، وستفشل عمليات الكتابة.
أفضل الممارسات
قائمة التحقق لأفضل ممارسات EKM
اعتبارات خاصة بـ Data Cloud
- مفتاح واحد: يستخدم Data Cloud مفتاحًا جذريًا واحدًا فقط لكل البيانات
- البيانات الجديدة فقط: الانتقال من مفتاح مُدار من العميل إلى EKM يؤثر على البيانات الجديدة فقط
- إعادة تشفير كاملة: العودة إلى مفتاح مُدار من العميل تُطلق إعادة تشفير جميع بيانات Data Cloud
- ترخيص مطلوب: يجب امتلاك ترخيص Platform Encryption for Consumption
استكشاف أخطاء EKM وإصلاحها
الحصول على الدعم
- تحقق من Salesforce Setup Audit Trail بحثًا عن تغييرات التكوين الأخيرة
- راجع سجلات AWS CloudTrail بحثًا عن محاولات الوصول إلى KMS والأخطاء
- استخدم ميزة Check Connection في Salesforce لتشخيص مشكلات الاتصال
- تواصل مع دعم Salesforce مع: معرّف المؤسسة ومعرّف مفتاح EKM ورسائل الخطأ والطوابع الزمنية ومقتطفات مسار التدقيق
مقارنة: EKM مقابل BYOK مقابل Cache-Only Keys
| الميزة | EKM | BYOK | Cache-Only Keys |
|---|---|---|---|
| موقع المفتاح | نظام KMS خارجي | مرفوع إلى Salesforce | خدمة العميل |
| تخزين المفتاح | لا يُخزَّن أبدًا في SF | يُخزَّن مشفَّرًا في SF | لا يُخزَّن أبدًا في SF |
| تخبئة المفتاح | مؤقتة في الذاكرة | مشتق من سر مخزَّن | مؤقتة في الذاكرة |
| الإلغاء | فوري (تعطيل في KMS) | يتطلب تدوير المفتاح | فوري |
| الاعتماد على الشبكة | مطلوب للاسترجاع | غير مطلوب بعد الرفع | مطلوب للاسترجاع |
| التعقيد | عالٍ | متوسط | عالٍ |
| الأنسب لـ | الامتثال الصارم | التوازن بين التحكم والبساطة | أقصى تحكم |