Gerenciado pelo cliente: operações do ciclo de vida da chave do locatário

Nota

Você está procurando por Microsoft Purview Information Protection, anteriormente Microsoft Information Protection (MIP)?

O suplemento Proteção de Informações do Azure foi retirado e substituído por rótulos incorporados aos seus aplicativos e serviços do Microsoft 365. Saiba mais sobre o status de suporte de outros componentes da Proteção de Informações do Azure.

O novo cliente Microsoft Purview Information Protection (sem o suplemento) está atualmente em pré-visualização e agendado para disponibilidade geral.

Se você gerenciar sua chave de locatário para a Proteção de Informações do Azure (o cenário bring your own key, ou BYOK), use as seções a seguir para obter mais informações sobre as operações de ciclo de vida relevantes para essa topologia.

Revogar a chave de inquilino

Há muito poucos cenários em que você pode precisar revogar sua chave em vez de redigitar. Quando revoga a chave, todo o conteúdo que foi protegido pelo seu inquilino utilizando essa chave ficará inacessível a todos (incluindo a Microsoft, os seus administradores globais e superutilizadores), a menos que tenha uma cópia de segurança da chave que possa restaurar. Depois de revogar sua chave, você não poderá proteger o novo conteúdo até criar e configurar uma nova chave de locatário para a Proteção de Informações do Azure.

Para revogar sua chave de locatário gerenciada pelo cliente, no Cofre da Chave do Azure, altere as permissões no cofre de chaves que contém sua chave de locatário da Proteção de Informações do Azure para que o serviço Azure Rights Management não possa mais acessar a chave. Essa ação revoga efetivamente a chave de locatário da Proteção de Informações do Azure.

Quando você cancela sua assinatura da Proteção de Informações do Azure, a Proteção de Informações do Azure para de usar sua chave de locatário e nenhuma ação é necessária de você.

Rechaveie sua chave de locatário

Rechavear também é conhecido como rolar sua chave. Quando você faz essa operação, a Proteção de Informações do Azure para de usar a chave de locatário existente para proteger documentos e emails e começa a usar uma chave diferente. As políticas e os modelos são imediatamente renunciados, mas essa mudança é gradual para clientes e serviços existentes que usam a Proteção de Informações do Azure. Assim, durante algum tempo, alguns conteúdos novos continuam a ser protegidos com a antiga chave de inquilino.

Para rechavear, você deve configurar o objeto de chave do locatário e especificar a chave alternativa a ser usada. Em seguida, a chave usada anteriormente é marcada automaticamente como arquivada para a Proteção de Informações do Azure. Essa configuração garante que o conteúdo que foi protegido usando essa chave permaneça acessível.

Exemplos de quando você pode precisar rechavear para a Proteção de Informações do Azure:

• A sua empresa dividiu-se em duas ou mais empresas. Quando você rechave sua chave de locatário, a nova empresa não terá acesso ao novo conteúdo que seus funcionários publicam. Eles podem acessar o conteúdo antigo se tiverem uma cópia da chave de locatário antiga.

• Você deseja mover de uma topologia de gerenciamento de chave para outra.

• Você acredita que a cópia mestra da sua chave de inquilino (a cópia em sua posse) está comprometida.

Para rechavear para outra chave que você gerencia, você pode criar uma nova chave no Cofre de Chaves do Azure ou usar uma chave diferente que já esteja no Cofre de Chaves do Azure. Em seguida, siga os mesmos procedimentos que você fez para implementar o BYOK para a Proteção de Informações do Azure.

1. Somente se a nova chave estiver em um cofre de chaves diferente daquele que você já está usando para a Proteção de Informações do Azure: autorize a Proteção de Informações do Azure a usar o cofre de chaves, usando o cmdlet Set-AzKeyVaultAccessPolicy .

2. Se a Proteção de Informações do Azure ainda não souber sobre a chave que você deseja usar, execute o cmdlet Use-AipServiceKeyVaultKey .

3. Configure o objeto de chave do locatário usando o cmdlet Set-AipServiceKeyProperties de execução.

Para obter mais informações sobre cada uma dessas etapas:

• Para rechavear para outra chave que você gerencia, consulte Planejando e implementando sua chave de locatário da Proteção de Informações do Azure.

  Se você estiver rechaveando uma chave protegida por HSM que cria no local e transfere para o Cofre de Chaves, poderá usar o mesmo mundo de segurança e cartões de acesso que usou para sua chave atual.

• Para rechavear, alterando para uma chave que a Microsoft gerencia para você, consulte a seção Rechavear sua chave de locatário para operações gerenciadas pela Microsoft.

Faça backup e recupere sua chave de locatário

Como você está gerenciando sua chave de locatário, é responsável por fazer backup da chave usada pela Proteção de Informações do Azure.

Se você gerou sua chave de locatário localmente, em um HSM nCipher: Para fazer backup da chave, faça backup do arquivo de chave tokenizada, do arquivo mundial e dos cartões de administrador. Quando você transfere sua chave para o Cofre de Chaves do Azure, o serviço salva o arquivo de chave tokenizado para proteger contra falhas de quaisquer nós de serviço. Esse arquivo está vinculado ao mundo da segurança para a região ou instância específica do Azure. No entanto, não considere esse arquivo de chave tokenizado como um backup completo. Por exemplo, se você precisar de uma cópia de texto simples da sua chave para usar fora de um HSM nCipher, o Azure Key Vault não poderá recuperá-la para você, porque ele tem apenas uma cópia não recuperável.

O Azure Key Vault tem um cmdlet de backup que você pode usar para fazer backup de uma chave baixando-a e armazenando-a em um arquivo. Como o conteúdo baixado é criptografado, ele não pode ser usado fora do Cofre de Chaves do Azure.

Exportar sua chave de locatário

Se você usar BYOK, não poderá exportar sua chave de locatário do Cofre da Chave do Azure ou da Proteção de Informações do Azure. A cópia no Cofre da Chave do Azure não é recuperável.

Responder a uma violação

Nenhum sistema de segurança, por mais forte que seja, está completo sem um processo de resposta a violações. A sua chave de inquilino pode estar comprometida ou roubada. Mesmo quando está bem protegido, vulnerabilidades podem ser encontradas na tecnologia de chave da geração atual ou em comprimentos de chave e algoritmos atuais.

A Microsoft tem uma equipa dedicada para responder a incidentes de segurança nos seus produtos e serviços. Assim que há um relato confiável de um incidente, essa equipe se envolve para investigar o escopo, a causa raiz e as mitigações. Se esse incidente afetar seus ativos, a Microsoft notificará os administradores globais do locatário por email.

Se você tiver uma violação, a melhor ação que você ou a Microsoft podem tomar depende do escopo da violação; A Microsoft trabalhará consigo durante este processo. A tabela a seguir mostra algumas situações típicas e a resposta provável, embora a resposta exata dependa de todas as informações reveladas durante a investigação.

Descrição do incidente	Resposta provável
Sua chave de locatário vazou.	Reintroduza a sua chave de inquilino. Consulte Rechavear sua chave de locatário.
Um indivíduo não autorizado ou malware obteve direitos para usar sua chave de locatário, mas a chave em si não vazou.	Rechavear sua chave de locatário não ajuda aqui e requer análise de causa raiz. Se um processo ou bug de software foi responsável para o indivíduo não autorizado obter acesso, essa situação deve ser resolvida.
Vulnerabilidade descoberta na tecnologia HSM da geração atual.	A Microsoft deve atualizar os HSMs. Se houver motivos para acreditar que a vulnerabilidade expôs chaves, a Microsoft instruirá todos os clientes a rechavear suas chaves de locatário.
A vulnerabilidade descoberta no algoritmo RSA, ou comprimento da chave, ou ataques de força bruta tornam-se computacionalmente viáveis.	A Microsoft deve atualizar o Cofre da Chave do Azure ou a Proteção de Informações do Azure para dar suporte a novos algoritmos e comprimentos de chave mais longos que sejam resilientes e instruir todos os clientes a rechavear sua chave de locatário.