Claves gestionadas por el cliente en Adobe Experience Platform
Los datos almacenados en Adobe Experience Platform se cifran en reposo mediante claves de nivel de sistema. Si utiliza una aplicación basada en Platform, puede optar por utilizar sus propias claves de cifrado, lo que le proporciona un mayor control sobre la seguridad de los datos.
Este documento proporciona información general de alto nivel sobre el proceso para habilitar la función Claves administradas por el cliente (CMK) en Platform en Azure y AWS, junto con la información sobre los requisitos previos necesaria para completar estos pasos.
Requisitos previos
Para habilitar CMK, el entorno de alojamiento de su plataforma (Azure o AWS) debe cumplir con los requisitos de configuración específicos:
Requisitos previos generales
Para ver y obtener acceso a la sección Cifrado en Adobe Experience Platform, debe haber creado una función y asignado el permiso Administrar clave administrada por el cliente a esa función. Cualquier usuario con el permiso Administrar clave administrada por el cliente puede habilitar CMK para su organización.
Para obtener más información sobre la asignación de funciones y permisos en Experience Platform, consulte la documentación sobre la configuración de permisos.
Requisitos previos específicos de Azure
Para implementaciones alojadas en Azure, configure el almacén de claves Azure con la siguiente configuración:
Requisitos previos específicos de AWS
En implementaciones alojadas en AWS, configure su entorno de AWS de la siguiente manera:
- Asegúrese de que tiene permisos para administrar claves de cifrado mediante AWS Identity and Access Management (IAM). Para obtener más información, consulte las directivas de IAM para AWS KMS.
- Configure AWS KMS compatible con CMK. Consulte la Guía de cifrado de datos de AWS KMS.
Resumen del proceso process-summary
Claves gestionadas por el cliente (CMK) está disponible a través de las ofertas Escudo de atención sanitaria y Escudo de privacidad y seguridad de Adobe. En Azure, CMK es compatible tanto con Healthcare Shield como con Privacy and Security Shield. En AWS, CMK solo es compatible con el Escudo de privacidad y seguridad, y no está disponible para Healthcare Shield. Una vez que su organización compre una licencia para una de estas ofertas, puede iniciar el proceso de configuración único para habilitar CMK.
El proceso es el siguiente:
Para Azure azure-process-summary
- Configura un Azure depósito de claves basado en las políticas de tu organización y genera una clave de cifrado para compartirla con el Adobe.
- Configure la aplicación CMK con su inquilino de Azure a través de llamadas API o la IU.
- Envíe su ID de clave de cifrado al Adobe e inicie el proceso de habilitación de la función, ya sea en la interfaz de usuario o con una llamada API.
- Compruebe el estado de la configuración para comprobar si CMK se ha habilitado, ya sea en la interfaz de usuario o con una llamada API.
Una vez completado el proceso de configuración de las instancias de Platform alojadas en Azure, todos los datos incorporados en Platform en todas las zonas protegidas se cifrarán con la configuración de clave de Azure. Para usar CMK, aprovechará la funcionalidad Microsoft Azure que puede formar parte de su programa de vista previa pública.
Para AWS aws-process-summary
- Configure AWS KMS configurando una clave de cifrado para compartirla con el Adobe.
- Siga las instrucciones específicas de AWS en la guía de configuración de la interfaz de usuario.
- Valide la configuración para confirmar que los datos de Platform se cifran con la clave alojada en AWS.
Una vez completado el proceso de configuración de las instancias de Platform alojadas en AWS, todos los datos incorporados en Platform en todas las zonas protegidas se cifrarán con la configuración del servicio de administración de claves (KMS) de AWS. Para utilizar CMK en AWS, utilizará el Servicio de administración de claves de AWS para crear y administrar las claves de cifrado de acuerdo con los requisitos de seguridad de su organización.
Implicaciones de revocar el acceso a claves revoke-access
Revocar o deshabilitar el acceso a la aplicación Key Vault, key o CMK en Azure o a la clave de cifrado en AWS puede provocar interrupciones significativas, que incluyen cambios importantes en las operaciones de la plataforma. Una vez deshabilitadas las claves, es posible que no se pueda acceder a los datos en Platform y que las operaciones de flujo descendente que dependan de estos datos dejen de funcionar. Es crucial comprender completamente los impactos descendentes antes de realizar cambios en las configuraciones clave.
Para revocar el acceso de plataforma a sus datos en Azure, quite el rol de usuario asociado a la aplicación de Key Vault. Para AWS, puede deshabilitar la clave o actualizar la instrucción de directiva. Para obtener instrucciones detalladas sobre el proceso de AWS, consulte la sección de revocación de claves.
Escalas de tiempo de propagación propagation-timelines
Una vez revocado el acceso a la clave desde el almacén de claves Azure, los cambios se propagarán de la siguiente manera:
Por ejemplo, el panel Perfil seguirá mostrando los datos de su caché durante un máximo de siete días antes de que los datos caduquen y se actualicen. Del mismo modo, volver a habilitar el acceso a la aplicación tarda la misma cantidad de tiempo en restaurar la disponibilidad de los datos en estas tiendas.
Pasos siguientes
Para iniciar el proceso:
- Para Azure: Comience por configurar una Azure caja fuerte de claves y generar una clave de cifrado para compartirla con el Adobe.
- Para AWS: Configure AWS KMS y asegúrese de que las configuraciones de IAM y KMS sean las correctas antes de seguir las guías de configuración de la interfaz de usuario o la API.