Externes Schlüsselmanagement (EKM)
Externes Schlüsselmanagement (EKM)
Verschlüsselungsschlüssel in einem externen KMS speichern und verwalten und dabei Salesforce-Daten schützen
Die Salesforce-Shield-Integration befindet sich in der Vorschau und ist auf Standard-Tenants von DuoKey Cockpit noch nicht aktiviert. Dieser Leitfaden beschreibt Funktionsweise und Einrichtung. Kontaktieren Sie DuoKey, um den Zugang für Ihr Projekt zu besprechen.
Was ist EKM?
Shield External Key Management (EKM) verbindet Ihre Salesforce-Implementierung mit Verschlüsselungsschlüsseln, die in einem externen KMS gespeichert sind. Anders als beim herkömmlichen BYOK, bei dem Schlüssel in Salesforce hochgeladen werden, ruft EKM Schlüssel nur bei Bedarf aus Ihrem externen KMS ab und speichert sie vorübergehend im Arbeitsspeicher zwischen.
Vollständige Schlüsselkontrolle
Schlüssel verbleiben jederzeit in Ihrem externen KMS
Abruf bei Bedarf
Schlüssel werden nur abgerufen, wenn sie für Operationen benötigt werden
Keine dauerhafte Speicherung
Salesforce speichert zwischengespeicherte EKM-Schlüssel niemals dauerhaft
Sofortiger Widerruf
Widerrufen Sie den Zugriff jederzeit über Ihr KMS
So funktioniert Salesforce Shield EKM mit DuoKey
Für EKM stützt sich Shield Platform Encryption auf DuoKey KMS (Ihren externen Schlüsselverwaltungsdienst), um die vom Shield-Platform-Verschlüsselungsdienst verwendeten Datenverschlüsselungsschlüssel (DEKs) zu erzeugen und zu sichern. Diese DEKs verbleiben in verpacktem Zustand im verschlüsselten Schlüssel-Cache der Shield Platform. Wenn Ver- oder Entschlüsselungsoperationen erforderlich sind, übergibt der Shield-Platform-Dienst den verpackten DEK an DuoKey KMS zum Entpacken.
| Edition/Anforderung | Details |
|---|---|
| Experience | Lightning Experience und Salesforce Classic (nicht in allen Organisationen verfügbar) |
| Editionen | Enterprise, Performance, Unlimited und Developer |
| Lizenz | Salesforce Shield oder Shield Platform Encryption |
| Dienst | EKM-Dienst oder Cache-Only Key Service |
| Berechtigung | Verschlüsselungsschlüssel verwalten |
EKM-Einrichtungsprozess
Der Prozess beginnt damit, dass Sie einen Root-Schlüssel in DuoKey KMS erstellen. Sie erstellen eine Richtlinie, die dem regionalen KMS von Salesforce wichtige Berechtigungen erteilt:
- Berechtigung, DuoKey KMS aufzufordern, einen DEK mithilfe des Root-Schlüssels zu erzeugen und zu verpacken
- Berechtigung, DuoKey KMS aufzufordern, den DEK mithilfe des Kunden-Root-Schlüssels zu entpacken
EKM-Einrichtungsprozess
Erstkonfiguration zwischen DuoKey KMS und Salesforce Shield
Root-Schlüssel erstellen
DuoKey-KMS-Administrator erstellt einen Root-Schlüssel in DuoKey KMS
Schlüsselrichtlinie konfigurieren
Salesforce-Administrator erstellt eine Schlüsselrichtlinie und kopiert sie in DuoKey KMS
DEK anfordern
Mit der eingerichteten Richtlinie fordert der Salesforce-Verschlüsselungsdienst einen DEK zur lokalen Speicherung an
DEK verpacken
DuoKey KMS verwendet den Root-Schlüssel, um den neuen DEK zu erstellen und zu verpacken, und sendet ihn über einen sicheren Kanal (TLS/mTLS) zurück
Verpackten DEK speichern
Der Verschlüsselungsdienst speichert den verpackten DEK in der TenantSecret-Tabelle
EKM-Schlüsselabrufprozess
Wenn der Shield-Platform-Verschlüsselungsdienst Verschlüsselungsoperationen erkennt, die den EKM-DEK erfordern, überprüft er seinen verschlüsselten Schlüssel-Cache. Ist der entpackte DEK nicht im Cache vorhanden, leitet der Shield-Platform-Verschlüsselungsdienst eine Anforderung über die vollständige Schlüsselabrufkette ein:
Schlüsselabrufkette
Schlüsselabruf-Ablauf
Wie Salesforce Verschlüsselungsschlüssel von DuoKey abruft und zwischenspeichert
Verschlüsseln / Entschlüsseln mit AES-256
Die Daten werden in Salesforce verschlüsselt — der Schlüsselwiderruf über DuoKey deaktiviert den Zugriff sofort
Schritt-für-Schritt-Schlüsselabruf
- Ein Benutzer greift auf verschlüsselte Daten zu oder speichert sie
- Der Shield-Platform-Verschlüsselungsdienst ruft den verpackten DEK aus der TenantSecret-Tabelle ab
- Der Verschlüsselungsdienst holt den verpackten DEK aus der TenantSecret-Datenbank
- Die Anforderung wird an AWS KMS gesendet, das mit External Key Store konfiguriert ist
- AWS KMS leitet die Anforderung über TLS 1.2+ an den XKS Proxy weiter
- Der XKS Proxy leitet die Anforderung zum intelligenten Routing an DuoKey Cockpit weiter
- DuoKey Cockpit leitet an DuoKey MPC weiter, das den DEK mithilfe von Threshold-Kryptografie entpackt
- Der entpackte DEK wird über den sicheren Kanal an Salesforce zurückgegeben
- Der Verschlüsselungsdienst speichert den entpackten Schlüssel im Schlüssel-Cache (nur im Arbeitsspeicher, niemals dauerhaft)
- Der Dienst führt Ver-/Entschlüsselungsoperationen mit AES-256 durch
Architekturüberblick
EKM-Architektur mit DuoKey
Vollständige Schlüsselabruf-Kette: Salesforce → AWS KMS → XKS Proxy → DuoKey MPC
Intelligentes Routing
DuoKey Cockpit leitet Anforderungen auf Grundlage von Schlüsselrichtlinien an den passenden Vault weiter
Multi-Vault-Unterstützung
Verbindung zu HashiCorp Vault, CyberArk, DuoKey MPC oder AWS KMS
Threshold-Kryptografie
DuoKey MPC bietet Multi-Party Computation für erhöhte Sicherheit
Einheitliche Verwaltung
Eine einzige Oberfläche zur Verwaltung von Schlüsseln über verschiedene Backends hinweg
Verschlüsselungsprozess mit EKM
Benutzer übermittelt Daten
Ein Benutzer speichert Daten in einem verschlüsselten Feld in Salesforce
Cache-Prüfung
Der Anwendungsserver prüft, ob sich der DEK im Schlüssel-Cache befindet
Schlüsselabruf
Falls nicht zwischengespeichert, fordert Salesforce den Schlüssel sicher von Ihrem externen KMS an
Schlüssel-Caching
Der Schlüssel wird vorübergehend im Arbeitsspeicher gespeichert (niemals auf Datenträger persistiert)
Datenverschlüsselung
Die Daten werden mit 256-Bit-AES-Verschlüsselung verschlüsselt
Speicherung
Die verschlüsselten Daten werden in der Datenbank gespeichert
Schlüsselabruffluss
| Szenario | Beschreibung | Antwortzeit |
|---|---|---|
| Cache-Treffer (Schnellpfad) | DEK befindet sich bereits im Arbeitsspeicher-Cache. Kein Netzwerkaufruf an das externe KMS erforderlich. | < 10 ms |
| Cache-Fehltreffer | DEK nicht im Cache gefunden. Der Schlüssel wird von AWS KMS/XKS Proxy abgerufen und zwischengespeichert. | 50–200 ms |
Antwortzeiten sind Richtwerte und hängen von der Netzwerklatenz und dem Backend ab.
Hinter den Kulissen: Shield Platform Encryption
Hinter den Kulissen: Shield-Verschlüsselung
Dreiphasiger Prozess für Tenant-Secret-Generierung, Schlüsselableitung und Datenverschlüsselung
- Jeder Datensatz verwendet einen eindeutigen IV (verhindert Musteranalyse)
- DEK wird niemals im Klartext gespeichert
- PBKDF2 macht Brute-Force-Angriffe rechnerisch aufwendig
- Schlüsselrotation ohne erneute Datenverschlüsselung unterstützt
Phase 1: Erzeugung des Tenant Secret
- Ein Hardware-Sicherheitsmodul (HSM) erzeugt ein kryptografisch sicheres 256-Bit-Tenant-Secret
- Das Tenant Secret wird mit dem Master-Schlüssel von Salesforce per AES-256-GCM verschlüsselt
- Das verschlüsselte Tenant Secret wird sicher in der Datenbank gespeichert
- Dadurch ist das Tenant Secret im Ruhezustand geschützt
Phase 2: Schlüsselableitung (PBKDF2)
- Kombiniert Tenant Secret + Primary Secret + Salt (Organisations-ID)
- Verwendet PBKDF2-HMAC-SHA256 mit 10.000 Iterationen
- Rechenintensiv, um Brute-Force-Angriffe zu verhindern
- Erzeugt einen 256-Bit-Datenverschlüsselungsschlüssel (DEK)
- Der DEK ist pro Organisation eindeutig und ändert sich, wenn das Tenant Secret rotiert wird
Phase 3: Datenverschlüsselung
- Jeder Datensatz erhält einen eindeutigen zufälligen 128-Bit-Initialisierungsvektor (IV)
- Klartextdaten + IV + DEK sind die Eingaben für AES-256-CBC
- Ausgabe: Chiffretext + IV + Schlüssel-ID werden in der Datenbank gespeichert
- Der IV verhindert die Musteranalyse über Datensätze hinweg
- Die Schlüssel-ID ermöglicht Schlüsselrotation ohne Datenmigration
Unterstützte externe KMS
AWS Key Management Service (AWS KMS)
AWS KMS ist ein verwalteter Dienst, der die Erstellung und Steuerung von Verschlüsselungsschlüsseln vereinfacht. Er lässt sich nahtlos in Salesforce EKM integrieren.
| Funktion | Beschreibung |
|---|---|
| HSM-Validierung | Nach FIPS 140-2 Level 2 validierte HSMs |
| Schlüsselrotation | Unterstützung für automatische Schlüsselrotation |
| Audit-Protokollierung | Detaillierte Protokollierung mit AWS CloudTrail |
| Zugriffskontrolle | Feingranulare Steuerung mit IAM-Richtlinien |
| Replikation | Regionsübergreifende Schlüsselreplikation |
Was kann mit EKM verschlüsselt werden?
Verschlüsselung auf Feldebene
- Standardfelder: Sensible Standardfelder verschlüsseln
- Benutzerdefinierte Felder: Text-, E-Mail-, Telefon- und URL-Felder
- Probabilistisch: Verhindert statistische Analysen
- Deterministisch: Ermöglicht Suchvorgänge ohne Beachtung der Groß-/Kleinschreibung
Data-Cloud-Verschlüsselung
- Alle Data-Cloud-Daten: Datenressourcen verschlüsseln
- Kundenverwaltete Schlüssel: EKM-Root-Schlüssel verwenden
- Einzelschlüsselrichtlinie: Ein Root-Schlüssel für alle Daten
Suchindex-Verschlüsselung
- Suchindexdateien: Mit EKM-Root-Schlüsseln verschlüsseln
- Separate DEKs: Separate DEKs für Indizes erzeugen
EKM-Voraussetzungen
Voraussetzungen
- Lizenz für Salesforce Shield oder Shield Platform Encryption
- Add-on für External Key Management Service
- Benutzerberechtigung „Verschlüsselungsschlüssel verwalten“
- Lizenz „Platform Encryption for Consumption“ (für Data Cloud)
- Symmetrischer AWS-KMS-Verschlüsselungsschlüssel (256 Bit)
- Ordnungsgemäß konfigurierte AWS-IAM-Richtlinien
- Netzwerkzugriff von Salesforce auf den AWS-KMS-Endpunkt
- Konfigurierte Salesforce Named Credential für die AWS-Authentifizierung
Anforderungen an die Schlüsselstärke
| Anforderung | Spezifikation |
|---|---|
| Minimale Schlüsselgröße | Symmetrischer 256-Bit-Schlüssel |
| Algorithmusunterstützung | AES-256-Verschlüsselung |
| Schlüsselerzeugung | Kryptografisch sicherer Zufallszahlengenerator |
EKM einrichten
AWS-KMS-Schlüssel erstellen
- Melden Sie sich bei der AWS Management Console an
- Navigieren Sie zum AWS Key Management Service
- Erstellen Sie einen neuen symmetrischen Verschlüsselungsschlüssel (256 Bit)
- Konfigurieren Sie Schlüsselrichtlinien, um Salesforce-Zugriff zu erlauben
- Notieren Sie sich die Schlüssel-ID und die AWS-Region
Named Credential konfigurieren
Erstellen Sie eine Named Credential zur Authentifizierung bei AWS:
- Navigieren Sie im Salesforce-Setup zu Named Credentials
- Erstellen Sie eine neue Named Credential mit AWS-Signature-Version-4-Authentifizierung
- Konfigurieren Sie: AWS Access Key ID, AWS Secret Access Key, AWS Region, AWS Service (
kms)
Schlüsselkoordinationsrichtlinie einrichten
- Navigieren Sie zu Setup → Platform Encryption → Key Management
- Wählen Sie External Key Management
- Klicken Sie auf New EKM Key
- Geben Sie an: Schlüsselbezeichner (ARN), AWS-Region, Named Credential, Beschreibung
Datenverschlüsselungsschlüssel erzeugen
- Nach dem Erstellen des EKM-Root-Schlüssels erzeugen Sie einen Datenverschlüsselungsschlüssel (DEK)
- Der DEK wird in Salesforce erstellt und mit Ihrem EKM-Root-Schlüssel verschlüsselt
- Der verschlüsselte DEK wird in Salesforce gespeichert, kann aber nur mit Ihrem externen Schlüssel entschlüsselt werden
Aktivieren und testen
- Aktivieren Sie den EKM-Schlüssel in Salesforce
- Testen Sie die Verbindung, um sicherzustellen, dass Salesforce den Schlüssel abrufen kann
- Wenden Sie den Schlüssel auf Ihre Verschlüsselungsrichtlinie an
- Verschlüsseln Sie Testfelder, um die Einrichtung zu überprüfen
Schlüsselverwaltungsoperationen
EKM-Schlüssel rotieren
Die Rotation kann ohne Ausfallzeiten durchgeführt werden. Alte Schlüssel werden archiviert und zur Entschlüsselung vorhandener Daten aufbewahrt. Neue Daten werden mit dem neuen Schlüssel verschlüsselt, während Hintergrundprozesse vorhandene Daten neu verschlüsseln.
EKM-Schlüsselverbindung prüfen
- Navigieren Sie zu Setup → Platform Encryption → Key Management
- Wählen Sie Ihren EKM-Schlüssel aus
- Klicken Sie auf Check Connection
- Überprüfen Sie den Verbindungsstatus und etwaige Fehlermeldungen
EKM-Schlüsselnutzung auditieren
| Quelle | Erfasste Ereignisse |
|---|---|
| Salesforce Setup Audit Trail | Schlüsselerstellung, Aktivierung/Deaktivierung, Rotation, Verbindungsprüfungen |
| AWS CloudTrail | Schlüsselzugriffsanforderungen, Entschlüsselungsoperationen, Richtlinienänderungen, Authentifizierungsversuche |
EKM-Schlüssel deaktivieren
Das Deaktivieren eines Schlüssels entfernt ihn sofort aus dem Cache von Salesforce und verhindert neue Verschlüsselungsoperationen. Vorhandene verschlüsselte Daten bleiben verschlüsselt und können weiterhin entschlüsselt werden, sofern der Schlüssel im externen KMS verfügbar ist.
- Navigieren Sie zu den Einstellungen Ihres EKM-Schlüssels
- Klicken Sie auf Deactivate
- Bestätigen Sie die Aktion
EKM in Sandbox-Umgebungen
Produktivschlüssel können in Sandboxes nur zur Entschlüsselung verwendet werden. Erstellen Sie stets separate Root-Schlüssel speziell für Sandbox-Umgebungen.
Best Practices für Sandboxes
- Erstellen Sie einen separaten AWS-KMS-Schlüssel für Sandbox-Umgebungen
- Konfigurieren Sie separate Named Credentials für die Sandbox
- Erstellen Sie nach einer Sandbox-Aktualisierung einen neuen EKM-Root-Schlüssel für die Sandbox
- Rotieren Sie alle DEKs in der Sandbox, sodass sie den neuen Root-Schlüssel verwenden
- Verwenden Sie niemals Produktivschlüssel für Verschlüsselungsoperationen in der Sandbox
Kritische Überlegungen
Schlüsselverfügbarkeit: Ihre Salesforce-Anwendung ist von Ihren externen Schlüsseln abhängig. Wird ein Schlüssel unverfügbar, können Benutzer den Zugriff auf verschlüsselte Daten dauerhaft verlieren.
Verhinderung von Schlüsselverlust: Implementieren Sie robuste Schlüsselrotations- und Schlüsselsicherungsstrategien als Schutz vor ungeplantem Schlüsselverlust.
Auswirkungen der Schlüsseldeaktivierung: Ist ein Schlüssel nicht verfügbar, sind weder Ver- noch Entschlüsselung möglich. Benutzer sehen drei Fragezeichen (???) anstelle von Daten, und Schreiboperationen schlagen fehl.
Best Practices
Checkliste EKM-Best-Practices
Besondere Überlegungen für Data Cloud
- Einzelschlüssel: Data Cloud verwendet nur einen Root-Schlüssel für alle Daten
- Nur neue Daten: Die Migration von kundenverwaltet zu EKM betrifft nur neue Daten
- Vollständige Neuverschlüsselung: Die Rückmigration zu einem kundenverwalteten Schlüssel löst die Neuverschlüsselung aller Data-Cloud-Daten aus
- Lizenz erforderlich: Es ist eine Lizenz „Platform Encryption for Consumption“ erforderlich
EKM-Fehlerbehebung
Support erhalten
- Prüfen Sie den Salesforce Setup Audit Trail auf kürzliche Konfigurationsänderungen
- Überprüfen Sie die AWS-CloudTrail-Protokolle auf KMS-Zugriffsversuche und Fehler
- Nutzen Sie die Funktion Check Connection von Salesforce zur Diagnose von Konnektivitätsproblemen
- Wenden Sie sich an den Salesforce-Support mit: Organisations-ID, EKM-Schlüsselbezeichner, Fehlermeldungen, Zeitstempeln, Auszügen aus dem Audit Trail
Vergleich: EKM vs. BYOK vs. Cache-Only-Schlüssel
| Funktion | EKM | BYOK | Cache-Only-Schlüssel |
|---|---|---|---|
| Schlüsselspeicherort | Externes KMS | In Salesforce hochgeladen | Kundendienst |
| Schlüsselspeicherung | Niemals in SF gespeichert | Verschlüsselt in SF gespeichert | Niemals in SF gespeichert |
| Schlüssel-Caching | Vorübergehend im Arbeitsspeicher | Aus gespeichertem Secret abgeleitet | Vorübergehend im Arbeitsspeicher |
| Widerruf | Sofort (im KMS deaktivieren) | Erfordert Schlüsselrotation | Sofort |
| Netzwerkabhängigkeit | Für Abruf erforderlich | Nach Upload nicht erforderlich | Für Abruf erforderlich |
| Komplexität | Hoch | Mittel | Hoch |
| Am besten geeignet für | Strenge Compliance | Ausgewogenheit von Kontrolle/Einfachheit | Maximale Kontrolle |