Impostazione della chiave cliente

Creare un Azure Key Vault Premium in ogni sottoscrizione

Prima di creare un insieme di credenziali delle chiavi, eseguire i passaggi in Introduzione con Azure Key Vault. Questi passaggi guidano l'installazione e l'avvio di Azure PowerShell e la connessione alla sottoscrizione. Creare quindi un gruppo di risorse e un insieme di credenziali delle chiavi.

Quando si crea un insieme di credenziali delle chiavi, è necessario scegliere uno SKU: Standard o Premium. Lo SKU Standard usa chiavi protette da software senza un modulo di sicurezza hardware, mentre lo SKU Premium consente l'uso di moduli di protezione hardware per proteggere le chiavi. Customer Key supporta gli insiemi di credenziali delle chiavi con uno dei due SKU, ma Microsoft consiglia vivamente di usare lo SKU Premium. Il costo delle operazioni è lo stesso per entrambi; quindi, l'unica differenza di prezzo deriva dal costo mensile di ogni chiave protetta da HSM. Per informazioni dettagliate sui prezzi, vedere Key Vault prezzi.

Abilitazione della protezione dall'eliminazione temporanea e dall'eliminazione

Quando è possibile ripristinare rapidamente le chiavi, è meno probabile che si verifichino interruzioni estese del servizio da eliminazioni accidentali o dannose. Questa funzionalità di ripristino è denominata eliminazione temporanea. Consente di ripristinare chiavi o insiemi di credenziali eliminati entro 90 giorni senza dover eseguire il ripristino da un backup. Customer Key richiede che tutti gli insiemi di credenziali abbiano l'eliminazione temporanea abilitata e un periodo di conservazione di 90 giorni. L'eliminazione temporanea viene abilitata automaticamente per i nuovi insiemi di credenziali delle chiavi Azure. Se si usano insiemi di credenziali esistenti in cui non è attivato, è possibile abilitarli manualmente.

Quando la protezione dall'eliminazione è attiva, un insieme di credenziali o un oggetto nello stato eliminato non può essere eliminato fino al termine del periodo di conservazione. Gli insiemi di credenziali e gli oggetti eliminati temporaneamente possono comunque essere ripristinati, assicurandosi che i criteri di conservazione vengano seguiti.

Per abilitare la protezione dall'eliminazione temporanea e dall'eliminazione nel Azure Key Vault, vedere Azure Key Vault gestione del ripristino con protezione dall'eliminazione temporanea e dall'eliminazione temporanea.

Per ogni carico di lavoro di Microsoft 365 per cui si usa Customer Key, creare un insieme di credenziali delle chiavi in ognuna delle due sottoscrizioni Azure configurate in precedenza.

configurazione Key Vault

Ad esempio, se si usa customer key per più carichi di lavoro, Exchange e SharePoint, sono necessarie tre coppie di insiemi di credenziali delle chiavi, per un totale di sei. Usare una convenzione di denominazione chiara che rifletta l'uso previsto di DEP a cui si associano gli insiemi di credenziali. Nella tabella seguente viene illustrato come eseguire il mapping di ogni Azure Key Vault a ogni carico di lavoro.

La creazione di insiemi di credenziali delle chiavi richiede anche la configurazione Azure gruppi di risorse. Gli insiemi di credenziali delle chiavi richiedono una piccola quantità di spazio di archiviazione e la registrazione (se abilitata) archivia anche i dati. Come procedura consigliata, Microsoft consiglia di assegnare amministratori diversi per gestire ogni gruppo di risorse. Questi ruoli devono essere allineati con gli amministratori responsabili della gestione delle risorse chiave cliente associate.

Per Exchange, l'ambito di un dep è a livello di cassetta postale. A ogni cassetta postale può essere assegnato un solo criterio ed è possibile creare fino a 50 criteri. Un criterio di SharePoint copre tutti i dati nella posizione geografica (o geografica) di un'organizzazione, mentre un criterio multi-carico di lavoro copre i carichi di lavoro supportati in tutti gli utenti dell'organizzazione.

Assegnare autorizzazioni a ogni Azure Key Vault

Assegnare le autorizzazioni necessarie a ogni insieme di credenziali delle chiavi usando Azure controllo degli accessi in base al ruolo (Azure controllo degli accessi in base al ruolo) nel portale di Azure. Questa sezione illustra come applicare le autorizzazioni corrette usando il controllo degli accessi in base al ruolo.

Assegnazione di autorizzazioni tramite il metodo RBAC

Per assegnare (wrapKey, unwrapKeye get) alla Azure Key Vault, assegnare il ruolo Key Vault Crypto Service Encryption User all'app Microsoft 365 appropriata. Vedere Concedere l'autorizzazione alle applicazioni per accedere a un Azure Key Vault usando Azure controllo degli accessi in base al ruolo.

Quando si assegna il ruolo, cercare i nomi di app seguenti nel tenant:

• Più carichi di lavoro: M365DataAtRestEncryption

• Exchange: Office 365 Exchange Online

• SharePoint e OneDrive: Office 365 SharePoint Online

Se l'app che si sta cercando non viene visualizzata, assicurarsi di registrare l'app nel tenant.

Per altre informazioni sull'assegnazione di ruoli e autorizzazioni, vedere Usare il controllo degli accessi in base al ruolo per gestire l'accesso alle risorse della sottoscrizione Azure.

Assegnazione di ruoli utente

La chiave del cliente richiede sia Key Vault amministratori che collaboratori Key Vault per gestire e proteggere l'accesso alle chiavi di crittografia.

• Key Vault Gli amministratori gestiscono attività di gestione giornaliere, ad esempio backup, creazione, recupero, importazione, elenco e ripristino. Per impostazione predefinita, non hanno l'autorizzazione per eliminare le chiavi. Questa progettazione consente di evitare la perdita permanente dei dati. Concedere autorizzazioni di eliminazione solo temporaneamente e con cautela usando il ruolo Collaboratore.

• Key Vault collaboratori possono gestire le autorizzazioni e assegnare ruoli nel Key Vault. Usare questo ruolo per controllare l'accesso quando i membri del team vengono aggiunti o lasciati.

Per i passaggi dettagliati relativi all'assegnazione di questi ruoli usando Azure controllo degli accessi in base al ruolo, vedere Azure ruoli predefiniti per le operazioni del piano dati Key Vault.

Aggiungere una chiave a ogni Key Vault creando o importando una chiave

Esistono due modi per aggiungere chiavi a un Azure Key Vault: è possibile creare una chiave direttamente nell'insieme di credenziali o importare una chiave esistente. La creazione di una chiave in Azure è più semplice, ma l'importazione di una chiave offre il controllo completo sulla modalità di generazione della chiave. Usare le chiavi RSA. Customer Key supporta la lunghezza della chiave RSA fino a 4.096 bit. Azure Key Vault non supporta il wrapping e l'annullamento del wrapping con chiavi a curva ellittica (EC).

Per aggiungere una chiave a ogni insieme di credenziali, vedere Add-AzKeyVaultKey.

Se si preferisce generare una chiave locale e quindi importarla in Azure, seguire questa procedura in Come generare e trasferire chiavi protette con HSM per Azure Key Vault. Usare le istruzioni Azure per aggiungere una chiave a ogni Key Vault.

Verificare la data di scadenza delle chiavi

Per verificare che le chiavi non abbiano una data di scadenza, eseguire il cmdlet Get-AzKeyVaultKey .

Per Azure Key Vault:

Get-AzKeyVaultKey -VaultName <vault name>

La chiave del cliente non può usare chiavi scadute. Se una chiave è scaduta, qualsiasi operazione che la usa ha esito negativo, il che può causare un'interruzione del servizio. È consigliabile che le chiavi usate con la chiave del cliente non abbiano una data di scadenza.

Una volta impostata, non è possibile rimuovere una data di scadenza, ma è possibile modificarla. Se è necessario usare una chiave con una data di scadenza, aggiornarla 12/31/9999 e usare il metodo di onboarding legacy. Qualsiasi altro valore di scadenza non riesce la convalida dell'onboarding della chiave del cliente.

Per modificare la data di scadenza in 12/31/9999, usare il cmdlet Update-AzKeyVaultKey .

Update-AzKeyVaultKey -VaultName <vault name> -Name <key name> -Expires (Get-Date -Date "12/31/9999")

Eseguire il backup della chiave Azure Key Vault

Dopo aver creato o modificato una chiave, assicurarsi di eseguirne immediatamente il backup. Archiviare copie di backup sia in posizioni online che offline per evitare la perdita di dati.

Per eseguire il backup di una chiave in Azure Key Vault, usare il cmdlet Backup-AzKeyVaultKey.

Ottenere l'URI per ogni chiave Azure Key Vault

Dopo aver configurato gli insiemi di credenziali delle chiavi e aver aggiunto le chiavi, eseguire il comando seguente per ottenere l'URI per ogni chiave. Questi URI sono necessari durante la creazione e l'assegnazione di indirizzi IP; quindi, assicurarsi di salvarli da qualche parte sicuro.

Eseguire il comando seguente in Azure PowerShell, una volta per ogni Key Vault:

(Get-AzKeyVaultKey -VaultName <vault name>).Id

Configurare la chiave del cliente con HSM gestito

La chiave del cliente di Microsoft 365 supporta le chiavi RSA archiviate in Azure Key Vault HSM gestito, una soluzione conforme a FIPS 140-2 livello 3.

Il modulo di protezione hardware gestito è un servizio a tenant singolo completamente gestito e a disponibilità elevata che consente di proteggere le chiavi crittografiche usando moduli di sicurezza hardware (HSM) convalidati da FIPS 140-2 livello 3. Supporta applicazioni cloud che richiedono la protezione delle chiavi ad alta garanzia.

Per altre informazioni sul servizio, vedere panoramica del modulo di protezione hardware gestito Azure Key Vault.

Per configurare la chiave del cliente usando il modulo di protezione hardware gestito, seguire i passaggi nell'ordine elencato. Questo articolo include indicazioni dettagliate per le attività specifiche del modulo di protezione hardware e collegamenti ai passaggi di configurazione condivisi del processo di chiave cliente standard.

Creare un gruppo di risorse, effettuare il provisioning e attivare un modulo di protezione hardware gestito

A differenza dei Azure Key Vault standard, che in genere richiedono tre coppie di insiemi di credenziali delle chiavi (sei totali) per supportare tutti i carichi di lavoro, il modulo di protezione hardware gestito richiede solo due istanze, una per sottoscrizione Azure, indipendentemente dal numero di carichi di lavoro chiave cliente che si prevede di usare.

Per effettuare il provisioning e attivare le istanze del modulo di protezione hardware gestito, seguire la procedura descritta nella guida introduttiva al modulo di protezione hardware gestito con PowerShell.

Assegnare autorizzazioni a ogni modulo di protezione hardware gestito

Il modulo di protezione hardware gestito usa il controllo degli accessi in base al ruolo locale per gestire le autorizzazioni. Per assegnare l'accesso richiesto per Chiave cliente, è necessario concedere il ruolo Utente crittografia del servizio crittografia HSM gestito all'applicazione Microsoft 365 appropriata.

Questo ruolo concede le autorizzazioni seguenti per la chiave: wrapKey, unwrapKeye get.

Per altre informazioni, vedere Gestione dei ruoli del modulo di protezione hardware gestito.

Quando si assegna il ruolo, cercare i nomi delle app di Microsoft 365 seguenti:

• Più carichi di lavoro: M365DataAtRestEncryption
• Exchange: Office 365 Exchange Online
• SharePoint e OneDrive: Office 365 SharePoint Online

Se l'app prevista non è visualizzata nel tenant, verificare di aver registrato le entità servizio necessarie.

Per altre informazioni sull'assegnazione dei ruoli, vedere Usare il controllo degli accessi in base al ruolo per gestire l'accesso alle risorse della sottoscrizione Azure.

Assegnare ruoli utente al modulo di protezione hardware gestito

Gli amministratori del modulo di protezione hardware gestito sono responsabili delle attività di gestione quotidiane, ad backupesempio , , createget, import, liste restore.

Per le definizioni dei ruoli e le indicazioni sull'assegnazione dei ruoli utente, vedere Assegnazione di ruoli utente.

Aggiungere una chiave a ogni modulo di protezione hardware gestito

HSM gestito supporta solo chiavi protette da HSM. Quando si creano chiavi da usare con Customer Key, è necessario usare il tipo di chiave RSA-HSM .

Per creare una chiave direttamente nel modulo di protezione hardware gestito, seguire la procedura descritta in Add-AzKeyVaultKey.

Se si preferisce generare una chiave in locale e quindi importarla nel modulo di protezione hardware gestito, vedere Come generare e trasferire chiavi protette da HSM per Azure Key Vault.

Usare queste istruzioni per creare una chiave in ogni istanza del modulo di protezione hardware gestito.

Verificare la data di scadenza delle chiavi HSM gestite

Per verificare che le chiavi non abbiano una data di scadenza, eseguire il cmdlet Get-AzKeyVaultKey .

Per HSM gestito:

Get-AzKeyVaultKey -HsmName <HSM name>

La chiave del cliente non può usare chiavi scadute. Se una chiave è scaduta, qualsiasi operazione che la usa ha esito negativo, il che può causare un'interruzione del servizio. È consigliabile che le chiavi usate con la chiave del cliente non abbiano una data di scadenza.

Una volta impostata, non è possibile rimuovere una data di scadenza, ma è possibile modificarla. Se è necessario usare una chiave con una data di scadenza, aggiornarla 12/31/9999 e usare il metodo di onboarding legacy. Qualsiasi altro valore di scadenza non riesce la convalida di Microsoft 365.

Per modificare la data di scadenza in 12/31/9999, usare il cmdlet Update-AzKeyVaultKey .

Update-AzKeyVaultKey -HsmName <HSM name> -Name <key name> -Expires (Get-Date -Date "12/31/9999")

Eseguire il backup della chiave HSM gestita

Per eseguire il backup della chiave HSM gestita, vedere Backup-AzKeyVaultKey.

Ottenere l'URI per ogni chiave HSM gestita

Dopo aver configurato gli HSM gestiti e aver aggiunto le chiavi, eseguire il comando seguente per ottenere l'URI per ogni chiave. Questi URI sono necessari durante la creazione e l'assegnazione di criteri di crittografia dei dati, quindi assicurarsi di salvarli in un punto sicuro.

Eseguire il comando seguente in Azure PowerShell, una volta per ogni Key Vault:

(Get-AzKeyVaultKey -HsmName <HSM name>).Id