Spravované zákazníkem: Operace životního cyklu klíče TenantaCustomer-managed: Tenant key life cycle operations

Platí pro: Azure Information Protection, Office 365Applies to: Azure Information Protection, Office 365

Pokud spravujete svůj klíč tenanta pro Azure Information Protection (přineste si vlastní klíč neboli BYOK, scénář), použijte v následujících částech Další informace o operacích životního cyklu, které souvisí s touto topologií.If you manage your tenant key for Azure Information Protection (the bring your own key, or BYOK, scenario), use the following sections for more information about the life cycle operations that are relevant to this topology.

Odvolání klíče tenantaRevoke your tenant key

Ve službě Azure Key Vault je možné pro trezor klíčů, který obsahuje klíč tenanta Azure Information Protection, změnit oprávnění tak, aby služba Azure Rights Management už k tomuto klíči neměla přístup.In Azure Key Vault, you can change the permissions on the key vault that contains your Azure Information Protection tenant key so that the Azure Rights Management service can no longer access the key. Když k tomu ale dojde, už nikdo neotevře dokumenty a e-maily, u kterých jste dřív nastavili ochranu pomocí služby Azure Rights Management.However, when you do this, nobody will be able to open documents and emails that you previously protected with the Azure Rights Management service.

Když zrušíte předplatné pro službu Azure Information Protection, přestane tato služba používat váš klíč tenanta, přičemž z vaší strany není nutná žádná akce.When you cancel your subscription for Azure Information Protection, Azure Information Protection stops using your tenant key and no action is needed from you.

Opětovné vytvoření klíče tenantaRekey your tenant key

Tato akce umožňuje znovu vytvořit klíč tenanta.Rekeying is also known as rolling your key. Když provedete tuto operaci, Azure Information Protection přestane používat existující klíče tenanta k ochraně dokumentů a e-mailů a začne používat jiný klíč.When you do this operation, Azure Information Protection stops using the existing tenant key to protect documents and emails, and starts to use a different key. Zásady a šablony jsou okamžitě znovu podepisovat, ale tento přechod je postupné pro existující klienty a služby pomocí služby Azure Information Protection.Policies and templates are immediately resigned but this changeover is gradual for existing clients and services using Azure Information Protection. Tak dlouho, část nového obsahu i nadále chráněn pomocí starého klíče tenanta.So for some time, some new content continues to be protected with the old tenant key.

Pro opětovné vytvoření klíčů je nutné nakonfigurovat objekt klíče klienta a zadejte alternativní klíč k použití.To rekey, you must configure the tenant key object and specify the alternative key to use. Potom použitých klíč automaticky označen jako archivovaný pro Azure Information Protection.Then, the previously used key is automatically marked as archived for Azure Information Protection. Tato konfigurace zajistí, že obsah, který byl chráněný pomocí tohoto klíče zůstanou dostupné.This configuration ensures that content that was protected by using this key remains accessible.

Příklady při možná budete muset opětovné vytvoření klíčů pro Azure Information Protection:Examples of when you might need to rekey for Azure Information Protection:

  • Vaše společnost se rozdělila na dvě nebo více společností.Your company has split into two or more companies. Když znovu vytvoříte klíč tenanta, nová společnost nebude mít přístup k novému obsahu publikovanému vašimi zaměstnanci.When you rekey your tenant key, the new company will not have access to new content that your employees publish. Bude mít přístup jenom ke starému obsahu, pokud má ovšem kopii starého klíče tenanta.They can access the old content if they have a copy of the old tenant key.

  • Chcete přesunout z jednoho topologie správy klíčů na jiný.You want to move from one key management topology to another.

  • Budete mít dojem, že dojde k ohrožení bezpečnosti hlavní kopii vašeho klíče tenanta (kopie ve vašem vlastnictví).You believe the master copy of your tenant key (the copy in your possession) is compromised.

Změna hodnoty klíče, na jiný klíč, který spravujete, můžete buď vytvořit nový klíč v Azure Key Vault nebo použijte jiný klíč, který je již v Azure Key Vault.To rekey to another key that you manage, you can either create a new key in Azure Key Vault or use a different key that is already in Azure Key Vault. Potom postupujte podle stejné postupy, které jste použili k implementaci BYOK pro Azure Information Protection.Then follow the same procedures that you did to implement BYOK for Azure Information Protection.

  1. Pouze pokud je nový klíč v různých trezoru klíčů tomu už používáte pro Azure Information Protection: autorizace Azure Information Protection používat Trezor klíčů, pomocí Set-AzureRmKeyVaultAccessPolicy rutiny.Only if the new key is in a different key vault to the one you are already using for Azure Information Protection: Authorize Azure Information Protection to use the key vault, by using the Set-AzureRmKeyVaultAccessPolicy cmdlet.

  2. Pokud Azure Information Protection již neví o klíči chcete použít, spusťte použití AadrmKeyVaultKey rutiny.If Azure Information Protection doesn't already know about the key you want to use, run Use-AadrmKeyVaultKey cmdlet.

  3. Konfigurace objekt klíče klienta pomocí možnosti Spustit Set-AadrmKeyProperties rutiny.Configure the tenant key object, by using the run Set-AadrmKeyProperties cmdlet.

Další informace o každém z těchto kroků:For more information about each of these steps:

Zálohování a obnova klíče tenantaBackup and recover your tenant key

Protože spravujete svůj klíč tenanta, jste zodpovědní za zálohování klíč, který používá Azure Information Protection.Because you are managing your tenant key, you are responsible for backing up the key that Azure Information Protection uses.

Pokud jste vygenerovali klíč tenanta místně, v modulu HSM společnosti Thales: Chcete-li zálohovat klíč, zálohovat tokenizovaná soubor klíče a soubor world, karty správce.If you generated your tenant key on premises, in a Thales HSM: To back up the key, back up the tokenized key file, the world file, and the administrator cards. Pokud přenos vašeho klíče do Azure Key Vault, uloží službu tokenizovaná soubor klíče k ochraně před selháním všechny uzly služby.When you transfer your key to Azure Key Vault, the service saves the tokenized key file, to protect against failure of any service nodes. Tento soubor je vázaný k prostředí zabezpečení pro konkrétní instanci nebo oblast Azure.This file is bound to the security world for the specific Azure region or instance. Nepovažujte však tento soubor tokenizovaná klíče jako úplné zálohování.However, do not consider this tokenized key file to be a full backup. Například pokud budete někdy potřebovat kopii vašeho klíče pro použití mimo modul Thales HSM prostý text, Azure Key Vault nelze načíst, protože má jenom neobnovitelnou kopii.For example, if you ever need a plain text copy of your key to use outside a Thales HSM, Azure Key Vault cannot retrieve it for you, because it has only a non-recoverable copy.

Má Azure Key Vault zálohování rutiny používané zálohování klíče stáhnout a jeho uložení do souboru.Azure Key Vault has a backup cmdlet that you can use to back up a key by downloading it and storing it in a file. Protože obsah stažený je zašifrován, nelze použít mimo Azure Key Vault.Because the downloaded content is encrypted, it cannot be used outside Azure Key Vault.

Export vašeho klíče tenantaExport your tenant key

Pokud používáte BYOK, nemůžete exportovat klíč tenanta ze služby Azure Key Vault nebo Azure Information Protection.If you use BYOK, you cannot export your tenant key from Azure Key Vault or Azure Information Protection. Kopie ve službě Azure Key Vault je neobnovitelná.The copy in Azure Key Vault is non-recoverable.

Reakce na porušení zabezpečeníRespond to a breach

Žádný systém zabezpečení, ani ten nejsilnější, není kompletní bez postupu pro případ porušení zabezpečení.No security system, no matter how strong, is complete without a breach response process. Může dojít k narušení nebo krádeži vašeho klíče tenanta.Your tenant key might be compromised or stolen. I když je soubor chráněný dobře, může být ohrožení zabezpečení najdete v aktuální generace klíčová technologie nebo ve aktuální délky klíčů a algoritmy.Even when it’s protected well, vulnerabilities might be found in current generation key technology or in current key lengths and algorithms.

Microsoft má vyhrazený tým, který se zabývá reakcemi na incidenty zabezpečení u svých produktů a služeb.Microsoft has a dedicated team to respond to security incidents in its products and services. Jakmile se objeví důvěryhodné hlášení o incidentu, tento tým začne vyšetřovat jeho rozsah, hlavní příčinu a způsob zmírnění jeho dopadu.As soon as there is a credible report of an incident, this team engages to investigate the scope, root cause, and mitigations. Pokud tento incident ovlivní vaše prostředky, Microsoft upozorní správce klienta Azure Information Protection e-mailem na adresu, kterou jste zadali při přihlášení odběru.If this incident affects your assets, Microsoft notifies your Azure Information Protection tenant administrators by email by using the address that you supplied when you subscribed.

V případě porušení zabezpečení závisí další kroky, ať už vaše, nebo Microsoftu, na rozsahu porušení. Microsoft s vámi na tomto procesu bude spolupracovat.If you have a breach, the best action that you or Microsoft can take depends on the scope of the breach; Microsoft will work with you through this process. Následující tabulka uvádí některé typické situace a pravděpodobnou reakci. Konkrétní reakce pak bude záviset na všech informacích, které se zjistí během šetření.The following table shows some typical situations and the likely response, although the exact response depends on all the information that is revealed during the investigation.

Popis incidentuIncident description Pravděpodobná reakceLikely response
Došlo k úniku klíče tenanta.Your tenant key is leaked. Vytvořte klíč tenanta znovu.Rekey your tenant key. Viz část Opětovné vytvoření klíče tenanta.See Rekey your tenant key.
Neautorizovaný uživatel nebo malware získal práva na používání vašeho klíče tenanta, ale klíč sám o sobě neunikl.An unauthorized individual or malware got rights to use your tenant key but the key itself did not leak. Tady opětovné vytvoření klíče tenanta nepomůže, je potřeba provést analýzu hlavní příčiny.Rekeying your tenant key does not help here and requires root-cause analysis. Pokud za získání přístupu neautorizované osoby může chyba procesu nebo softwaru, musí se tato situace vyřešit.If a process or software bug was responsible for the unauthorized individual to get access, that situation must be resolved.
Chyba zabezpečení zjištěná v technologii HSM aktuální generace.Vulnerability discovered in the current-generation HSM technology. Microsoft musí aktualizovat moduly hardwarového zabezpečení.Microsoft must update the HSMs. Pokud je důvod se domnívat, že chyba způsobila vystavení klíčů, bude Microsoft dá pokyn všem zákazníkům, aby se změna hodnoty klíče jejich klíče klienta.If there is reason to believe that the vulnerability exposed keys, Microsoft will instruct all customers to rekey their tenant keys.
V algoritmu RSA nebo délce klíče se zjistí chyba zabezpečení nebo v rámci výpočetních procesů začnou být možné útoky hrubou silou.Vulnerability discovered in the RSA algorithm, or key length, or brute-force attacks become computationally feasible. Microsoft musí aktualizovat Azure Key Vault nebo Azure Information Protection, pro podporu nových algoritmů a delších klíčů, které jsou odolné a dá pokyn všem zákazníkům, aby se změna hodnoty klíče jejich klíče klienta.Microsoft must update Azure Key Vault or Azure Information Protection to support new algorithms and longer key lengths that are resilient, and instruct all customers to rekey their tenant key.

KomentářeComments

Před přidáním komentáře se podívejte na naše pravidla organizace.Before commenting, we ask that you review our House rules.