Data 360 平台加密快速入门 — 用 Shield 平台加密保护敏感数据

Data 360 平台加密是静态加密功能，用 AES-256 加密敏感客户数据与元数据。本文介绍其工作原理、所需的三个管理员权限、五步实施流程（开通许可证、分配权限、生成租户密钥、启用加密、建立密钥轮换），以及通过密钥管理页面、Setup 审计跟踪和加密统计三种方式审计加密合规性。...

首页/ 文章列表/ Data 360 平台加密快速入门 — 用 Shield 平台加密保护敏感数据
📅 2026/2/22 ✍️ ponybai 🏷️ headless-360, salesforce, data-360

一、开始使用 Data 360 平台加密

什么是 Data 360 平台加密？

Data 360 平台加密（Platform Encryption for Data 360）是一种静态加密（at-rest encryption）功能，为你的敏感 Data 360 数据增加额外的安全保护。一旦启用，它就会立即开始加密所有 Data 360 数据，你可以使用 Salesforce 生成的密钥进行加密。

作为 Salesforce 管理员，你可以利用 Data 360 平台加密来控制数据安全、满足监管标准。审计人员可以访问审计跟踪和加密统计来验证合规性。你的客户也能安心，知道自己的数据受到了保护。

你能用平台加密保护什么？

Shield 平台加密符合 GDPR、HIPAA、CCPA 等法规要求，使用 AES-256 加密 Salesforce Data 360 中的客户数据和元数据。

加密使用客户管理的密钥（CMK，Customer-Managed Keys），通过 Shield 进行管理，并集成 AWS Key Management Service（KMS） 以增强安全性。

你需要哪些权限？

要实施 Data 360 平台加密，你必须是一名具备以下权限的 Salesforce 管理员：

  • View Setup and Configuration：允许你访问加密设置并在 Salesforce Setup 中查看配置。管理员通常已拥有此权限。
  • Manage Encryption Keys：允许你创建、管理和轮换加密密钥。
  • Customize Application：允许你修改加密设置并管理 Salesforce 中的加密策略。

建议创建一个权限集（Permission Set），把 Manage Encryption Keys 和 Customize Application 权限聚合在一起，然后只将该权限集分配给负责管理加密的管理员。

实施流程（上）

实施 Data 360 平台加密包含以下任务：

  1. 开通许可证（Provision the license）：Data 360 平台加密是 Data 360 的附加组件，你还必须拥有一个活跃的 Shield 平台加密许可证。
  2. 分配权限（Assign permissions）：创建一个包含 Manage Encryption Keys 和 Customize Application 权限的权限集，并分配给负责管理 Shield 平台加密的管理员。
  3. 生成租户密钥（Generate a tenant secret）：确保你的 org 至少有一个租户密钥。如果在 Setup 的 Key Management 页面中没有列出任何密钥，点击 Generate Tenant Secret 创建一个。
  1. 启用 Data 360 加密：在 Setup 中找到 Encryption Settings，打开 Manage Data Cloud Keys。Salesforce 会为你创建第一个 Data 360 根密钥，Data 360 数据的加密会立即开始。

实施流程（下）

  1. 建立密钥轮换策略（Establish a key rotation policy）：为了增强安全性，应定期轮换密钥，典型的轮换周期是每 12 个月一次。在 Key Management 页面，你可以看到你的活跃（active）和已归档（archived）密钥。

活跃的根密钥用于加密和解密新数据；当创建新根密钥后，旧的根密钥会被归档，仅用于解密归档前由它加密的数据。

如你所见，设置 Data 360 平台加密是一个相对快速的过程。最棒的是，一旦启用，系统会立即为你创建根密钥并开始加密 Data 360 数据。

审计 Data 360 平台加密

有三种方式可以证明 Data 360 正在用平台加密安全地加密数据：

  1. 查看密钥管理页面（Review the Key Management Page）
  2. 使用 Setup 审计跟踪（Use Setup Audit Trail）
  3. 分析加密统计（Analyze Encryption Statistics）

查看密钥管理页面

Key Management 页面显示你的加密密钥的详细信息，包括其生成器（generator）、状态（Active 或 Archived）以及管理选项。

访问方法：在 Quick Find 框中输入 Key Management，然后选择 Key Management。

使用 Setup 审计跟踪

你可以使用 Setup Audit Trail 来验证 Data 360 加密是何时启用的。

访问方法：在 Setup 中，于 Quick Find 框输入 View Setup Audit Trail 并选择 View Setup Audit Trail。该审计跟踪提供了加密设置何时被切换的详细日志，帮助你确认加密已被持续应用。

分析加密统计

Setup 中的 Encryption Statistics 页面总结了各数据存储（包括 Data 360）的加密状态。用它来验证加密覆盖率并发现任何差异。

访问方法：在 Quick Find 框中输入 Platform Encryption，选择 Encryption Statistics。

更多内容

Shield 平台加密为加密其他 Salesforce 静态数据提供了全面的功能。想了解更多，请参阅 Shield 平台加密模块。

文章来源：Trailhead - Platform Encryption for Data 360 Quick Look