Настройка ключа клиента

Создание Azure Key Vault уровня "Премиум" в каждой подписке

Перед созданием хранилища ключей выполните действия, описанные в статье начало работы с Azure Key Vault. Эти действия помогут вам установить и запустить Azure PowerShell, а также подключиться к подписке. Затем создайте группу ресурсов и хранилище ключей.

При создании хранилища ключей необходимо выбрать номер SKU: Standard или Premium. SKU Standard использует защищенные программными средствами ключи без аппаратного модуля безопасности (HSM), в то время как номер SKU уровня "Премиум" позволяет использовать модули HSM для защиты ключей. Ключ клиента поддерживает хранилища ключей с одним из двух SKU, но корпорация Майкрософт настоятельно рекомендует использовать SKU уровня "Премиум". Стоимость операций одинакова для обоих; Таким образом, единственная разница в ценах заключается в ежемесячной стоимости каждого ключа, защищенного HSM. Сведения о ценах см. в разделе цены Key Vault.

Включение обратимого удаления и защиты от очистки

Если вы сможете быстро восстановить ключи, у вас меньше шансов столкнуться с расширенными сбоями службы из-за случайного или злонамеренного удаления. Эта функция восстановления называется обратимым удалением. Она позволяет восстановить удаленные ключи или хранилища в течение 90 дней без необходимости восстановления из резервной копии. Ключ клиента требует, чтобы во всех хранилищах было включено обратимое удаление и срок хранения — 90 дней. Обратимое удаление автоматически включается для новых Azure Key Vault. Если вы используете существующие хранилища, в которых он не включен, его можно включить вручную.

Если защита от очистки включена, хранилище или объект в удаленном состоянии не может быть очищен до истечения срока хранения. Обратимо удаленные хранилища и объекты по-прежнему можно восстановить, гарантируя соблюдение политики хранения.

Сведения о включении обратимого удаления и защиты от очистки на Azure Key Vault см. в статье Azure Key Vault управление восстановлением с обратимым удалением и защитой от очистки.

Для каждой рабочей нагрузки Microsoft 365, для которой используется ключ клиента, создайте хранилище ключей в каждой из двух подписок Azure, настроенных ранее.

конфигурация Key Vault

Например, если вы используете ключ клиента для нескольких рабочих нагрузок, сценариев Exchange и SharePoint, вам потребуется три пары хранилищ ключей, в общей сложности шесть. Используйте четкое соглашение об именовании, которое отражает предполагаемое использование DEP, с которым вы связываете хранилища. В следующей таблице показано, как сопоставить каждую Azure Key Vault с каждой рабочей нагрузкой.

Для создания хранилищ ключей также требуется настройка Azure групп ресурсов. Хранилища ключей требуют небольшого объема хранилища, а ведение журнала (если оно включено) также сохраняет данные. Корпорация Майкрософт рекомендует назначить разных администраторов для управления каждой группой ресурсов. Эти роли должны соответствовать администраторам, ответственным за управление связанными ресурсами ключа клиента.

Для Exchange область действия DEP находится на уровне почтового ящика. Каждому почтовому ящику может быть назначена только одна политика, и вы можете создать до 50 политик. Политика SharePoint охватывает все данные в географическом расположении (или географическом расположении) организации, а политика с несколькими рабочими нагрузками охватывает поддерживаемые рабочие нагрузки для всех пользователей в организации.

Назначение разрешений каждому Azure Key Vault

Назначьте необходимые разрешения каждому хранилищу ключей с помощью Azure управления доступом на основе ролей (Azure RBAC) в портал Azure. В этом разделе объясняется, как применить правильные разрешения с помощью RBAC.

Назначение разрешений с помощью метода RBAC

Чтобы назначить (wrapKey, unwrapKeyи get) на Azure Key Vault, назначьте роль пользователя шифрования Key Vault криптослужбы соответствующему приложению Microsoft 365. См. раздел Предоставление приложению разрешения на доступ к Azure Key Vault с помощью Azure RBAC.

При назначении роли найдите следующие имена приложений в клиенте:

• Несколько рабочих нагрузок: M365DataAtRestEncryption

• Exchange: Office 365 Exchange Online

• SharePoint и OneDrive: Office 365 SharePoint Online

Если вы не видите нужное приложение, убедитесь, что оно зарегистрировано в клиенте.

Дополнительные сведения о назначении ролей и разрешений см. в статье Управление доступом на основе ролей для управления доступом к ресурсам подписки Azure.

Назначение ролей пользователей

Ключ клиента требует, чтобы администраторы Key Vault и участники Key Vault управляли ключами шифрования и охраняли их.

• администраторы Key Vault выполняют ежедневные задачи управления, такие как резервное копирование, создание, получение, импорт, перечисление и восстановление. По умолчанию у них нет разрешения на удаление ключей. Такая конструкция помогает предотвратить постоянную потерю данных. Предоставьте разрешения на удаление только временно и с осторожностью с помощью роли Участник.

• Key Vault участники могут управлять разрешениями и назначать роли в Key Vault. Используйте эту роль для управления доступом при присоединении или уходе участников команды.

Подробные инструкции по назначению этих ролей с помощью Azure RBAC см. в разделе Azure встроенных ролей для операций Key Vault плоскости данных.

Добавление ключа в каждую Key Vault путем создания или импорта ключа

Добавить ключи в Azure Key Vault можно двумя способами: создать ключ непосредственно в хранилище или импортировать существующий ключ. Создание ключа в Azure проще, но импорт ключа обеспечивает полный контроль над тем, как создается ключ. Используйте ключи RSA. Ключ клиента поддерживает длину ключа RSA до 4096 бит. Azure Key Vault не поддерживает оболочку и распаку с помощью клавиш с эллиптической кривой (EC).

Сведения о добавлении ключа в каждое хранилище см. в разделе Add-AzKeyVaultKey.

Если вы предпочитаете создать ключ в локальной среде, а затем импортировать его в Azure, выполните действия, описанные в разделе Создание и передача ключей, защищенных HSM, для Azure Key Vault. Используйте инструкции по Azure, чтобы добавить ключ в каждую Key Vault.

Проверка срока действия ключей

Чтобы проверка, что у ключей нет даты окончания срока действия, выполните командлет Get-AzKeyVaultKey.

Для Azure Key Vault:

Get-AzKeyVaultKey -VaultName <vault name>

Ключ клиента не может использовать ключи с истекшим сроком действия. Если срок действия ключа истек, любая операция с его использованием завершается сбоем, что может привести к сбою службы. Настоятельно рекомендуется, чтобы срок действия ключей, используемых с ключом клиента, не был указан.

После установки дата окончания срока действия не может быть удалена, но вы можете изменить ее. Если необходимо использовать ключ с датой окончания срока действия, обновите его до 12/31/9999 и используйте устаревший метод подключения. Любое другое значение срока действия не проходит проверку подключения ключа клиента.

Чтобы изменить дату окончания срока действия на 12/31/9999, используйте командлет Update-AzKeyVaultKey .

Update-AzKeyVaultKey -VaultName <vault name> -Name <key name> -Expires (Get-Date -Date "12/31/9999")

Резервное копирование ключа Azure Key Vault

После создания или изменения ключа необходимо немедленно создать резервную копию. Храните резервные копии как в сетевых, так и в автономных расположениях, чтобы предотвратить потерю данных.

Чтобы создать резервную копию ключа в Azure Key Vault, используйте командлет Backup-AzKeyVaultKey.

Получение URI для каждого ключа Azure Key Vault

После настройки key Vault и добавления ключей выполните следующую команду, чтобы получить универсальный код ресурса (URI) для каждого ключа. Эти URI требуются при создании и назначении DEP; Поэтому обязательно сохраните их в безопасном месте.

Выполните следующую команду в Azure PowerShell — один раз для каждого Key Vault:

(Get-AzKeyVaultKey -VaultName <vault name>).Id

Настройка ключа клиента с управляемым устройством HSM

Ключ клиента Microsoft 365 поддерживает ключи RSA, хранящиеся в Azure Key Vault управляемом устройстве HSM, решении, совместимом с FIPS 140-2 уровня 3.

Управляемый модуль HSM — это полностью управляемая высокодоступная однотенантная служба, которая помогает защитить криптографические ключи с помощью аппаратных модулей безопасности (HSM) уровня 3, проверенных FIPS 140-2. Она поддерживает облачные приложения, которым требуется защита ключей с высоким уровнем надежности.

Дополнительные сведения о службе см. в статье Общие сведения об управляемом устройстве HSM Azure Key Vault.

Чтобы настроить ключ клиента с помощью управляемого модуля HSM, выполните действия в указанном порядке. В этой статье содержатся подробные рекомендации по конкретным задачам HSM и ссылки на общие шаги по настройке из стандартного процесса ключа клиента.

Создание группы ресурсов, подготовка и активация управляемого модуля HSM

В отличие от стандартного Azure Key Vault, для поддержки всех рабочих нагрузок обычно требуется три пары хранилищ ключей (всего шесть), для управляемого модуля HSM требуется только два экземпляра, по одному на Azure подписку, независимо от количества рабочих нагрузок клиентского ключа, которые вы планируете использовать.

Чтобы подготовить и активировать управляемые экземпляры HSM, выполните действия, описанные в кратком руководстве по управляемому устройству HSM с помощью PowerShell.

Назначение разрешений каждому управляемому устройству HSM

Управляемое устройство HSM использует локальное управление доступом на основе ролей (RBAC) для управления разрешениями. Чтобы назначить необходимый доступ для ключа клиента, необходимо предоставить роль пользователя шифрования службы шифрования управляемого устройства HSM соответствующему приложению Microsoft 365.

Эта роль предоставляет следующие разрешения на ключ: wrapKey, unwrapKeyи get.

Дополнительные сведения см. в разделе Управляемое управление ролями HSM.

При назначении роли найдите следующие имена приложений Microsoft 365:

• Несколько рабочих нагрузок: M365DataAtRestEncryption
• Exchange: Office 365 Exchange Online
• SharePoint и OneDrive: Office 365 SharePoint Online

Если ожидаемое приложение не отображается в клиенте, убедитесь, что вы зарегистрировали необходимые субъекты-службы.

Дополнительные сведения о назначении ролей см. в статье Управление доступом на основе ролей для управления доступом к ресурсам подписки Azure.

Назначение ролей пользователей управляемому устройству HSM

Администраторы управляемых устройств HSM отвечают за повседневные задачи управления, такие как backup, create, get, import, , listи restore.

Определения ролей и рекомендации по назначению ролей пользователей см. в разделе Назначение ролей пользователей.

Добавление ключа к каждому управляемому устройству HSM

Управляемый модуль HSM поддерживает только ключи, защищенные устройством HSM. При создании ключей для использования с ключом клиента необходимо использовать тип ключа RSA-HSM .

Чтобы создать ключ непосредственно в управляемом модуле HSM, выполните действия, описанные в разделе Add-AzKeyVaultKey.

Если вы предпочитаете создать ключ в локальной среде, а затем импортировать его в управляемый модуль HSM, см. статью Создание и передача ключей, защищенных HSM, для Azure Key Vault.

Используйте эти инструкции, чтобы создать по одному ключу в каждом экземпляре управляемого модуля HSM.

Проверка даты окончания срока действия ключей управляемого устройства HSM

Чтобы проверка, что у ключей нет даты окончания срока действия, выполните командлет Get-AzKeyVaultKey.

Для управляемого устройства HSM:

Get-AzKeyVaultKey -HsmName <HSM name>

Ключ клиента не может использовать ключи с истекшим сроком действия. Если срок действия ключа истек, любая операция с его использованием завершается сбоем, что может привести к сбою службы. Настоятельно рекомендуется, чтобы срок действия ключей, используемых с ключом клиента, не был указан.

После установки дата окончания срока действия не может быть удалена, но вы можете изменить ее. Если необходимо использовать ключ с датой окончания срока действия, обновите его до 12/31/9999 и используйте устаревший метод подключения. Любое другое значение срока действия не проходит проверку Microsoft 365.

Чтобы изменить дату окончания срока действия на 12/31/9999, используйте командлет Update-AzKeyVaultKey .

Update-AzKeyVaultKey -HsmName <HSM name> -Name <key name> -Expires (Get-Date -Date "12/31/9999")

Резервное копирование управляемого ключа HSM

Сведения о резервном копировании управляемого ключа HSM см. в статье Backup-AzKeyVaultKey.

Получение URI для каждого ключа управляемого модуля HSM

После настройки управляемых модулей HSM и добавления ключей выполните следующую команду, чтобы получить универсальный код ресурса (URI) для каждого ключа. Эти URI требуются при создании и назначении политик шифрования данных (DEP), поэтому не забудьте сохранить их в безопасном месте.

Выполните следующую команду в Azure PowerShell — один раз для каждого Key Vault:

(Get-AzKeyVaultKey -HsmName <HSM name>).Id