Gerido pelo cliente: Operações de ciclo de vida chave do inquilinoCustomer-managed: Tenant key life cycle operations

Aplica-se a: Azure Information Protection, Office 365Applies to: Azure Information Protection, Office 365

Se gerir a chave do seu inquilino para a Azure Information Protection (o cenário bring your own, ou BYOK), utilize as seguintes secções para obter mais informações sobre as operações do ciclo de vida que são relevantes para esta topologia.If you manage your tenant key for Azure Information Protection (the bring your own key, or BYOK, scenario), use the following sections for more information about the life cycle operations that are relevant to this topology.

Revogar a chave de inquilinoRevoke your tenant key

Há muito poucos cenários em que talvez precises de revogar a tua chave em vez de voltares a fazer o nosso.There are very few scenarios when you might need to revoke your key instead of rekeying. Quando revogar a sua chave, todo o conteúdo que tenha sido protegido pelo seu inquilino usando essa chave tornar-se-á inacessível para todos (incluindo a Microsoft, os seus administradores globais e super utilizadores) a menos que tenha uma cópia de segurança da chave que pode restaurar.When you revoke your key, all content that has been protected by your tenant using that key will become inaccessible to everybody (including Microsoft, your global admins, and super users) unless you have a backup of the key that you can restore. Depois de revogar a sua chave, não poderá proteger novos conteúdos até criar e configurar uma nova chave de inquilino para a Azure Information Protection.After revoking your key, you won't be able to protect new content until you create and configure a new tenant key for Azure Information Protection.

Para revogar a chave do seu inquilino gerido pelo cliente, no Cofre chave Azure, altere as permissões no cofre de chaves que contém a chave do inquilino Azure Information Protection para que o serviço de Gestão de Direitos Azure não possa mais aceder à chave.To revoke your customer-managed tenant key, in Azure Key Vault, change the permissions on the key vault that contains your Azure Information Protection tenant key so that the Azure Rights Management service can no longer access the key. Esta ação revoga efetivamente a chave do arrendatário para a Proteção da Informação do Azure.This action effectively revokes the tenant key for Azure Information Protection.

Quando cancelar a sua subscrição do Azure Information Protection, o Azure Information Protection deixará de utilizar a sua chave de inquilino e não será necessário que faça mais nada.When you cancel your subscription for Azure Information Protection, Azure Information Protection stops using your tenant key and no action is needed from you.

Recodificar a sua chave de inquilinoRekey your tenant key

A recodificação também é conhecida como implementação da chave.Rekeying is also known as rolling your key. Ao fazer esta operação, a Azure Information Protection deixa de usar a chave existente para proteger documentos e e-mails e começa a usar uma chave diferente.When you do this operation, Azure Information Protection stops using the existing tenant key to protect documents and emails, and starts to use a different key. As políticas e modelos são imediatamente resignados, mas esta transição é gradual para os clientes e serviços existentes usando a Azure Information Protection.Policies and templates are immediately resigned but this changeover is gradual for existing clients and services using Azure Information Protection. Então, por algum tempo, alguns novos conteúdos continuam a ser protegidos com a chave do antigo inquilino.So for some time, some new content continues to be protected with the old tenant key.

Para voltar a fazer a chave do inquilino e especificar a chave alternativa a utilizar.To rekey, you must configure the tenant key object and specify the alternative key to use. Em seguida, a tecla anteriormente utilizada é automaticamente marcada como arquivada para a Proteção de Informações Azure.Then, the previously used key is automatically marked as archived for Azure Information Protection. Esta configuração garante que o conteúdo protegido através desta chave permanece acessível.This configuration ensures that content that was protected by using this key remains accessible.

Exemplos de quando poderá precisar de voltar a pedir proteção de informação para o Azure:Examples of when you might need to rekey for Azure Information Protection:

  • A sua empresa foi dividida em duas ou mais empresas.Your company has split into two or more companies. Quando efetua a recodificação da chave de inquilino, a nova empresa não terá acesso ao conteúdo novo que os seus funcionários publicam.When you rekey your tenant key, the new company will not have access to new content that your employees publish. Estes podem aceder ao conteúdo antigo se tiverem uma cópia da chave de inquilino antiga.They can access the old content if they have a copy of the old tenant key.

  • Queres passar de uma topologia de gestão chave para outra.You want to move from one key management topology to another.

  • Você acredita que a cópia principal da chave do seu inquilino (a cópia na sua posse) está comprometida.You believe the master copy of your tenant key (the copy in your possession) is compromised.

Para voltar atrás para outra chave que gere, pode criar uma nova chave no Cofre da Chave Azure ou usar uma chave diferente que já está no Cofre da Chave Azure.To rekey to another key that you manage, you can either create a new key in Azure Key Vault or use a different key that is already in Azure Key Vault. Em seguida, siga os mesmos procedimentos que fez para implementar BYOK para a Proteção de Informação Azure.Then follow the same procedures that you did to implement BYOK for Azure Information Protection.

  1. Só se a nova chave estiver num cofre de chave diferente daquele que já está a utilizar para a Proteção de Informações Azure: Autorizar a Proteção de Informações Azure a utilizar o cofre-chave, utilizando o cmdlet Set-AzKeyVaultAccessPolicy.Only if the new key is in a different key vault to the one you are already using for Azure Information Protection: Authorize Azure Information Protection to use the key vault, by using the Set-AzKeyVaultAccessPolicy cmdlet.

  2. Se a Azure Information Protection ainda não souber da chave que pretende utilizar, execute o cmdlet Use-AipServiceKeyVaultKey.If Azure Information Protection doesn't already know about the key you want to use, run Use-AipServiceKeyVaultKey cmdlet.

  3. Configure o objeto chave do inquilino, utilizando o cmdlet Set-AipServiceKeyProperties.Configure the tenant key object, by using the run Set-AipServiceKeyProperties cmdlet.

Para mais informações sobre cada um destes passos:For more information about each of these steps:

  • Para voltar a ter outra chave que gere, consulte o Planeamento e implementando a chave do inquilino Azure Information Protection.To rekey to another key that you manage, see Planning and implementing your Azure Information Protection tenant key.

    Se estiver a reesclatar uma chave protegida pelo HSM que cria no local e transferir para o Key Vault, pode utilizar o mesmo mundo de segurança e cartões de acesso que utilizou para a sua chave atual.If you are rekeying an HSM-protected key that you create on-premises and transfer to Key Vault, you can use the same security world and access cards as you used for your current key.

  • Para voltar a fazer a chave que a Microsoft gere para si, consulte a secção chave do rekey para operações geridas pela Microsoft.To rekey, changing to a key that Microsoft manages for you, see the Rekey your tenant key section for Microsoft-managed operations.

Efetuar cópia de segurança e recuperar a chave de inquilinoBackup and recover your tenant key

Como está a gerir a chave do seu inquilino, é responsável por apoiar a chave que a Azure Information Protection utiliza.Because you are managing your tenant key, you are responsible for backing up the key that Azure Information Protection uses.

Se gerou a chave do seu inquilino nas instalações, num NCipher HSM: Para fazer o back up da chave, faça uma confirmação do ficheiro de chave tokenized, do ficheiro mundial e dos cartões de administrador.If you generated your tenant key on premises, in a nCipher HSM: To back up the key, back up the tokenized key file, the world file, and the administrator cards. Quando transfere a sua chave para o Cofre da Chave Azure, o serviço guarda o ficheiro de chave tokenizado, para proteger contra falhas de quaisquer nós de serviço.When you transfer your key to Azure Key Vault, the service saves the tokenized key file, to protect against failure of any service nodes. Este ficheiro está vinculado ao mundo da segurança da instância ou região do Azure específica.This file is bound to the security world for the specific Azure region or instance. No entanto, não considere este ficheiro chave simbólico como uma cópia de segurança completa.However, do not consider this tokenized key file to be a full backup. Por exemplo, se alguma vez precisar de uma cópia de texto simples da sua chave para usar fora de um HSM nCipher, o Cofre da Chave Azure não pode recuperá-la para si, porque tem apenas uma cópia não recuperável.For example, if you ever need a plain text copy of your key to use outside a nCipher HSM, Azure Key Vault cannot retrieve it for you, because it has only a non-recoverable copy.

O Azure Key Vault tem um cmdlet de reserva que pode usar para fazer backup de uma chave, descarregando-a e armazenando-a num ficheiro.Azure Key Vault has a backup cmdlet that you can use to back up a key by downloading it and storing it in a file. Como o conteúdo descarregado é encriptado, não pode ser usado fora do Azure Key Vault.Because the downloaded content is encrypted, it cannot be used outside Azure Key Vault.

Exportar a chave de inquilinoExport your tenant key

Se utiliza o BYOK, não pode exportar a chave de inquilino do Azure Key Vault ou do Azure Information Protection.If you use BYOK, you cannot export your tenant key from Azure Key Vault or Azure Information Protection. A cópia no Azure Key Vault não é recuperável.The copy in Azure Key Vault is non-recoverable.

Responder a uma violaçãoRespond to a breach

Nenhum sistema de segurança, por mais forte que seja, está completo sem um processo de resposta a violações.No security system, no matter how strong, is complete without a breach response process. A sua chave de inquilino pode estar comprometida ou ter sido roubada.Your tenant key might be compromised or stolen. Mesmo quando está bem protegido, as vulnerabilidades podem ser encontradas na tecnologia chave da geração atual ou nos comprimentos e algoritmos de chaves atuais.Even when it’s protected well, vulnerabilities might be found in current generation key technology or in current key lengths and algorithms.

A Microsoft tem uma equipa dedicada para responder a incidentes de segurança nos seus produtos e serviços.Microsoft has a dedicated team to respond to security incidents in its products and services. Assim que existir um relatório credível de um incidente, esta equipa investiga o âmbito, a causa raiz e as resoluções.As soon as there is a credible report of an incident, this team engages to investigate the scope, root cause, and mitigations. Se este incidente afetar os seus ativos, a Microsoft notifica os administradores globais do seu inquilino por e-mail.If this incident affects your assets, Microsoft notifies your tenant Global administrators by email.

Se ocorrer uma violação, a melhor ação que o utilizador ou a Microsoft pode efetuar depende do âmbito da violação; a Microsoft irá trabalhar consigo ao longo deste processo.If you have a breach, the best action that you or Microsoft can take depends on the scope of the breach; Microsoft will work with you through this process. A tabela seguinte mostra algumas situações típicas e a resposta provável, embora a resposta exata dependa de todas as informações que são reveladas durante a investigação.The following table shows some typical situations and the likely response, although the exact response depends on all the information that is revealed during the investigation.

Descrição do incidenteIncident description Resposta provávelLikely response
Ocorreu uma fuga da chave de inquilino.Your tenant key is leaked. Recodifique a sua chave de inquilino.Rekey your tenant key. Consulte a chave do seu inquilino.See Rekey your tenant key.
Um indivíduo não autorizado ou um software maligno obteve direitos para utilizar a sua chave de inquilino, mas não houve uma fuga da própria chave.An unauthorized individual or malware got rights to use your tenant key but the key itself did not leak. Efetuar a recodificação da chave de inquilino não ajuda neste caso e requer a análise da causa principal.Rekeying your tenant key does not help here and requires root-cause analysis. Se um erro no processo ou software tiver sido responsável pelo acesso que o indivíduo não autorizado obteve, essa situação tem de ser resolvida.If a process or software bug was responsible for the unauthorized individual to get access, that situation must be resolved.
Vulnerabilidade detetada na tecnologia HSM de geração atual.Vulnerability discovered in the current-generation HSM technology. A Microsoft tem de atualizar os HSMs.Microsoft must update the HSMs. Se houver razões para acreditar que as chaves expostas à vulnerabilidade, a Microsoft instruirá todos os clientes a re-aclatar as chaves do inquilino.If there is reason to believe that the vulnerability exposed keys, Microsoft will instruct all customers to rekey their tenant keys.
Foi detetada uma vulnerabilidade no algoritmo RSA, ou no comprimento da chave, ou ataques de força bruta tornaram-se exequíveis a nível informático.Vulnerability discovered in the RSA algorithm, or key length, or brute-force attacks become computationally feasible. A Microsoft deve atualizar o Azure Key Vault ou a Azure Information Protection para suportar novos algoritmos e comprimentos de chave mais longos que sejam resistentes, e instruir todos os clientes a re-chaves do seu inquilino.Microsoft must update Azure Key Vault or Azure Information Protection to support new algorithms and longer key lengths that are resilient, and instruct all customers to rekey their tenant key.