Créer des configurations de champs chiffrés

Configurez des champs spécifiques à chiffrer à l’aide de votre Service de gestion des clés externes module de chiffrement (EKMS) avec un emballage de clé Amazon Web Services Key Management System (AWS KMS) externe.

Avant de commencer

Rôles requis : admin, security_admin et sn_kmf.cryptographic_manager

Confirmez que vous avez créé un module de chiffrement avec l’emballage de clé externe activé. Voir Configurer une définition de clé externe.

Pourquoi et quand exécuter cette tâche

Une configuration de champ chiffré (EFC) connecte une colonne de table spécifique à votre EKMS module de chiffrement. EFC crée une chaîne de chiffrement sécurisée où vos données ne peuvent être déchiffrées que si la clé de chiffrement des ServiceNow données (DEK) et votre clé AWS externe sont disponibles.

Procédure

1. Accédez à la Tous > Sécurité de système > Chiffrement de champ > Configurations des champs chiffrés > Nouveau.
2. Remplissez le formulaire EFC.

   Champ	Description
   Type	Colonne pour chiffrer une colonne de table ou Pièce jointe pour chiffrer toutes les pièces jointes d’une table. Les types de données chiffrées sont les suivants : Texte de chaîne (UTF-8 complet) Pièces jointes Date, Date/Heure : Remarque : Vous pouvez créer des configurations de champs chiffrés pour chiffrer les champs Date et Date/Heure existants. Vous ne pouvez ajouter une nouvelle configuration de chiffrement qu’à une table parente. Vous ne pouvez pas ajouter une nouvelle configuration de chiffrement à une table enfant. URL HTML Journal Traduit
   Table	Table dont les champs ou les pièces jointes doivent être chiffrés.
   Colonne	Colonne (champ) à chiffrer si vous avez sélectionné colonne comme type.
   Actives	Sélectionnez cette option pour marquer la configuration comme active. Désélectionnez si la configuration n’est pas encore utilisée.
   Conservation chiffrée de l’algorithme [lecture seule]	Indique si le module de chiffrement que vous avez sélectionné est déjà configuré pour prendre en charge le chiffrement non déterministe. Cela signifie que si les mêmes données sont chiffrées plusieurs fois, le chiffrement est différent à chaque fois.
   Chiffrer par défaut	Sélectionnez cette option pour vérifier que les enregistrements qui ne correspondent pas aux critères définis sont toujours chiffrés par le module de chiffrement de champ par défaut. Si vous ne sélectionnez pas cette option, les enregistrements qui ne correspondent pas aux critères du générateur de conditions ne sont pas chiffrés.
   Module de chiffrement	Module cryptographique auquel la configuration du champ chiffré s’applique. Remarque : Vérifiez que vous sélectionnez le module de chiffrement pour lequel le marqueur « Clé d’emballage externe » est activé. L’utilisation d’un module sans encapsulation externe chiffre les données avec ServiceNow les clés internes de au lieu de votre clé AWS KMS.
   Fonction de message REST	Sélectionner un seul module pour appliquer cette politique d’accès à un module cryptographique. Sélectionnez plusieurs modules pour appliquer cette politique d’accès à plusieurs modules de chiffrement. Module unique Utilisez cette option pour chiffrer toutes les pièces jointes à l’aide d’un seul module. Vos utilisateurs doivent avoir accès à ce module, sinon ils ne pourront pas charger de pièces jointes. Modules multiples Utilisez cette option pour permettre aux utilisateurs de choisir un module lors du chargement des pièces jointes. Les utilisateurs ayant accès à un ou plusieurs modules peuvent sélectionner un module à utiliser pour le chiffrement. Les utilisateurs n’ayant pas accès au module peuvent charger des pièces jointes non chiffrées.

3. Sélectionnez Envoyer.
   

Résultats

Les données du champ établies par l’EFC sont chiffrées à l’aide de la clé de chiffrement des données (DEK) qui est encapsulée par votre clé AWS KMS.

Que faire ensuite

Étapes suivantes :

• Configurez des politiques d’accès au module pour contrôler quels rôles d’utilisateur peuvent afficher les données chiffrées en texte clair
• Tester l’accès avec des utilisateurs disposant des rôles appropriés
• Tester que les utilisateurs sans rôles appropriés ne peuvent pas afficher les données chiffrées

Avertissement :

Sans politiques d’accès aux modules configurées, les utilisateurs peuvent ne pas être en mesure d’afficher les données chiffrées, ou l’accès peut être illimité en fonction de la configuration de votre système. Configurez les politiques d’accès immédiatement après la création des configurations de champs chiffrés.