了解 Shield Platform Encryption（01 Get to Know Shield Platform Encryption）
本单元认识 Shield Platform Encryption——从加密的基础，到它背后的密钥关系、它的好处，以及一套明智的部署方法。
完成本单元后，你将能够：
- 定义加密并描述它如何保护数据；
- 解释租户密钥、密钥和主密钥之间的关系；
- 解释使用 Shield Platform Encryption 的好处。
什么是加密？（What Is Encryption?）
加密就像保护数据的一把数字锁：它把敏感信息转换成一种编码格式，只有用特定密钥才能解译。这样，即使有人未经授权访问，也无法读取你的数据。
最基础的层面，加密就是打乱信息，让只有持有正确解码密钥的人才能还原。这些打乱机制复杂度各异：有些用简单替换（比如用数字换字母，用某个加密密钥，「Trailhead」会变成「Xvemplieh」）；另一些系统用复杂算法、多个密钥来加密解密数据。加密就是这样阻止未授权的人访问你的数据。
Shield Platform Encryption 如何工作？（How Does Shield Platform Encryption Work?）
加密的基础是打乱与还原。密钥（keys）负责打乱和还原，秘密（secrets）让密钥安全、正常工作。
- 密钥是一串打乱和还原数据的字符。就像物理钥匙能锁门开门，加密密钥锁定和解锁数据，使其不可读或可读。有些信息只需一把密钥，另一些密钥成对工作——一把专门打乱、一把专门还原；
- 秘密是密钥的一部分，它们组合起来创建加密密钥，让服务器验证密钥是否最新，并确保数据访问请求来自被授权的密钥持有者。
秘密与密钥（Secrets and Keys）
三个组件协同工作：
- 租户密钥（Tenant secrets）——对你 Salesforce 组织独有，用于生成加密密钥。它和主密钥在密钥派生函数（KDF）里配对，创建加密解密数据的密钥；
- 主密钥（Primary secrets）——与租户密钥配对创建加密密钥。Salesforce 每年三次（每次发布）生成新的主密钥；
- 加密密钥（Encryption keys）——加密解密你的数据。Salesforce 管理它们，你也可以用自己的密钥以获得更多控制。
为什么使用 Shield Platform Encryption？（Why Use Shield Platform Encryption?）
Shield Platform Encryption 是 Salesforce 加密静态数据的功能——即存储在服务器、数据库、搜索索引文件和文件系统中的数据。对某些组织来说，它是有效的额外合规层。关键好处：
- 全面保护——用数据库加密保护所有数据（标准字段、自定义字段、自定义元数据、Apex 数据），并支持对加密数据的完整过滤、查询、搜索和排序；
- 合规——满足监管和合规要求；
- 外部密钥管理——EKM 和 BYOK 让你用现有密钥管理基础设施，获得更多控制；
- 可搜索——原生集成 Salesforce Platform，用元数据识别加密数据，确保部分搜索、过滤、排序等关键功能继续可用；
- 灵活的加密选项——字段级加密（FLE）默认概率式，需要过滤时可选确定性。
建议先咨询安全、法务和合规专家，判断 Shield Platform Encryption 是否适合你的组织。
聪明地部署 Shield Platform Encryption（Deploy Shield Platform Encryption the Smart Way）
成功部署需要充分规划和测试，遵循以下步骤确保安全合规：
- 理解影响——启用前先了解对组织的影响，在 sandbox 环境测试，确认应用和集成正常工作；
- 规划上线——制定详细启用计划，考虑字段加密顺序；80 个及以上加密字段建议分阶段组织迁移；
- 监控性能——启用后监控组织性能，用 setup audit trail 跟踪密钥管理活动；
- 培训团队——培训团队新加密特性和最佳实践，确保人人理解如何管理密钥、处理加密数据；
- 定期审查更新——定期审查加密设置，关注新特性，确保持续安全和合规。