إنتقل إلى المحتوى الرئيسي

getting-started

البدء

اطّلع على الإعداد الأولي وتكوين DuoKey لمفتاح العميل في Office 365 (Customer Key) لتتمكّن من التحكم في مفاتيح التشفير الخاصة بك للبيانات المخزّنة في Microsoft 365.

ينطبق على:
Office 365 E5Azure Key Vault PremiumDuoKey Platform

نظرة عامة​

يتضمّن تطبيق DuoKey لمفتاح العميل في Office 365 عدة خطوات رئيسية:

1

التحقق من المتطلبات المسبقة

تأكّد من امتلاكك للتراخيص والأذونات المطلوبة.

2

إعداد خزائن مفاتيح Azure

أنشئ خزائن مفاتيح Azure وكوّنها لتخزين مفاتيحك.

3

إنشاء مفاتيح العميل

أنشئ مفاتيح تشفير باستخدام DuoKey مع تقنية MPC.

4

تسجيل المفاتيح لدى Microsoft 365

استورد المفاتيح إلى Azure Key Vault.

5

إنشاء سياسات تشفير البيانات (DEPs)

كوّن سياسات DEP لأعباء العمل الخاصة بك.

6

تعيين سياسات DEP

طبّق سياسات التشفير على علب البريد والمواقع والفرق.

7

المراقبة والصيانة

قم بإعداد المراقبة وأرسِ الإجراءات التشغيلية.

قائمة تحقق المتطلبات المسبقة​

قبل المتابعة في التطبيق، تأكّد من توفّر جميع المتطلبات المسبقة.

المتطلبات المسبقة

  • ترخيص Office 365 Enterprise E5 (أو إضافة E5 Compliance)
  • Exchange Online Plan 2
  • SharePoint Online Plan 2
  • OneDrive for Business Plan 2
  • Microsoft Teams مضمّن في الاشتراك
  • دور المسؤول العام (Global Administrator) في Microsoft 365
  • دور مسؤول الامتثال (Compliance Administrator) (موصى به)
  • تمكين المصادقة متعددة العوامل (MFA)

المتطلبات المسبقة

  • اشتراك Azure (يمكن أن يكون منفصلًا عن اشتراك Microsoft 365)
  • القدرة على إنشاء خزائن مفاتيح Azure في منطقتين مختلفتين
  • توفّر طبقة Azure Key Vault Premium (المدعومة بوحدة HSM)
  • أذونات لإنشاء مجموعات الموارد
  • أذونات لإنشاء الكيانات الأساسية للخدمة (service principals)
  • وصول مسؤول Azure Active Directory
  • فهم التحكم في الوصول المستند إلى الأدوار في Azure (RBAC)

تخطيط النشر​

اختيار استراتيجية النشر الخاصة بك​

نشر تجريبي

ابدأ بـ 10-50 مستخدمًا تجريبيًا. تحقّق من التشفير والأداء. موصى به للمستخدمين لأول مرة. المدة الزمنية: 2-4 أسابيع.

إنتاج مرحلي

المرحلة 1: علب بريد كبار المسؤولين. المرحلة 2: الأقسام. المرحلة 3: عموم المستخدمين. المدة الزمنية: 2-6 أشهر.

إنتاج كامل

النشر لجميع المستخدمين في وقت واحد. الأنسب للمؤسسات التي تضم أقل من 1000 مستخدم. يتطلب مراقبة مخصصة. المدة الزمنية: 4-8 أسابيع.

اختيار عبء العمل​

عبء العملالتعقيدالتأثيرالترتيب الموصى به
Exchange Online (علب البريد)متوسطمرتفعالأول
SharePoint Onlineمرتفعمرتفعالثاني
OneDrive for Businessمرتفعمتوسطالثالث
Microsoft Teamsمرتفعمتوسطالرابع

البدء السريع: بيئة تجريبية​

للحصول على نشر تجريبي لإثبات المفهوم، اتّبع هذه الخطوات.

الخطوة 1: إنشاء خزائن مفاتيح Azure​

تحتاج إلى خزنتي مفاتيح Azure في منطقتين مختلفتين من Azure لتحقيق التكرار.

# Install Azure PowerShell module if not already installed
Install-Module -Name Az -AllowClobber -Force

# Connect to Azure
Connect-AzAccount

# Set variables
$subscriptionId = "your-subscription-id"
$resourceGroupName = "rg-customer-key-pilot"
$location1 = "eastus"
$location2 = "westus"
$keyVaultName1 = "kv-customerkey-eus-01"
$keyVaultName2 = "kv-customerkey-wus-01"

# Set subscription context
Set-AzContext -SubscriptionId $subscriptionId

# Create resource group
New-AzResourceGroup -Name $resourceGroupName -Location $location1

# Create first Key Vault (Premium tier with HSM)
New-AzKeyVault -Name $keyVaultName1 `
    -ResourceGroupName $resourceGroupName `
    -Location $location1 `
    -Sku Premium `
    -EnabledForDeployment `
    -EnabledForTemplateDeployment `
    -EnablePurgeProtection `
    -EnableSoftDelete

# Create second Key Vault
New-AzKeyVault -Name $keyVaultName2 `
    -ResourceGroupName $resourceGroupName `
    -Location $location2 `
    -Sku Premium `
    -EnabledForDeployment `
    -EnabledForTemplateDeployment `
    -EnablePurgeProtection `
    -EnableSoftDelete

الخطوة 2: توليد مفاتيح العميل باستخدام DuoKey​

استخدم DuoKey لتوليد مفاتيح التشفير باستخدام تقنية MPC:

# Login to DuoKey Cockpit
duokey login --username your-username

# Generate a new Customer Key using MPC
duokey key generate \
    --name "CustomerKey-Pilot-Primary" \
    --algorithm RSA \
    --size 2048 \
    --type customer-key \
    --mpc-threshold 2 \
    --mpc-shares 3

# Generate a second key for redundancy
duokey key generate \
    --name "CustomerKey-Pilot-Secondary" \
    --algorithm RSA \
    --size 2048 \
    --type customer-key \
    --mpc-threshold 2 \
    --mpc-shares 3

# Export keys for BYOK import
duokey key export \
    --name "CustomerKey-Pilot-Primary" \
    --format byok \
    --output primary-key.byok

duokey key export \
    --name "CustomerKey-Pilot-Secondary" \
    --format byok \
    --output secondary-key.byok

الخطوة 3: استيراد المفاتيح إلى Azure Key Vault​

# Import primary key to first vault
$primaryKey = Add-AzKeyVaultKey -VaultName $keyVaultName1 `
    -Name "CustomerKey-Pilot-Primary" `
    -KeyFilePath "./primary-key.byok" `
    -Destination HSM

# Import secondary key to second vault
$secondaryKey = Add-AzKeyVaultKey -VaultName $keyVaultName2 `
    -Name "CustomerKey-Pilot-Secondary" `
    -KeyFilePath "./secondary-key.byok" `
    -Destination HSM

# Display key URIs (needed for DEP creation)
Write-Host "Primary Key URI: $($primaryKey.Id)"
Write-Host "Secondary Key URI: $($secondaryKey.Id)"

الخطوة 4: منح Microsoft 365 حق الوصول إلى خزائن المفاتيح​

# Get Microsoft 365 service principal IDs
$exchangeServicePrincipal = "00000002-0000-0ff1-ce00-000000000000"
$sharepointServicePrincipal = "00000003-0000-0ff1-ce00-000000000000"

# Set access policy for Exchange Online on first vault
Set-AzKeyVaultAccessPolicy -VaultName $keyVaultName1 `
    -ServicePrincipalName $exchangeServicePrincipal `
    -PermissionsToKeys wrapKey,unwrapKey,get

# Set access policy for SharePoint Online on first vault
Set-AzKeyVaultAccessPolicy -VaultName $keyVaultName1 `
    -ServicePrincipalName $sharepointServicePrincipal `
    -PermissionsToKeys wrapKey,unwrapKey,get

# Repeat for second vault
Set-AzKeyVaultAccessPolicy -VaultName $keyVaultName2 `
    -ServicePrincipalName $exchangeServicePrincipal `
    -PermissionsToKeys wrapKey,unwrapKey,get

Set-AzKeyVaultAccessPolicy -VaultName $keyVaultName2 `
    -ServicePrincipalName $sharepointServicePrincipal `
    -PermissionsToKeys wrapKey,unwrapKey,get

الخطوة 5: الاتصال بـ Exchange Online PowerShell​

# Install Exchange Online PowerShell module
Install-Module -Name ExchangeOnlineManagement -Force

# Connect to Exchange Online
Connect-ExchangeOnline -UserPrincipalName [email protected]

# Verify connection
Get-OrganizationConfig | Select-Object Name

الخطوة 6: إنشاء سياسة تشفير البيانات (DEP)​

# Create DEP for Exchange Online mailboxes
New-M365DataAtRestEncryptionPolicy `
    -Name "DEP-Pilot-Mailboxes" `
    -Description "Pilot Customer Key DEP for Exchange Online" `
    -AzureKeyIDs @($primaryKey.Id, $secondaryKey.Id) `
    -Enabled $true

# Verify DEP creation
Get-M365DataAtRestEncryptionPolicy -Identity "DEP-Pilot-Mailboxes"

الخطوة 7: تعيين سياسة DEP لعلب البريد التجريبية​

# Assign DEP to a single mailbox
Set-Mailbox -Identity [email protected] `
    -DataEncryptionPolicy "DEP-Pilot-Mailboxes"

# Assign DEP to multiple mailboxes
$pilotUsers = @(
    "[email protected]",
    "[email protected]",
    "[email protected]"
)

foreach ($user in $pilotUsers) {
    Set-Mailbox -Identity $user -DataEncryptionPolicy "DEP-Pilot-Mailboxes"
    Write-Host "Assigned DEP to $user"
}

الخطوة 8: مراقبة تقدّم التشفير​

# Check encryption status
Get-M365DataAtRestEncryptionPolicyAssignment `
    -Identity "DEP-Pilot-Mailboxes" |
    Format-Table -AutoSize

# Check individual mailbox encryption status
Get-MailboxStatistics -Identity [email protected] |
    Select-Object DisplayName, IsEncrypted, EncryptionStatus

قائمة تحقق أفضل الممارسات​

قبل الانتقال إلى الإنتاج

أكمِل قوائم التحقق هذه قبل تمكين مفتاح العميل في الإنتاج.

المتطلبات المسبقة

  • نسخ المفاتيح احتياطيًا إلى موقع غير متصل آمن
  • قصر الوصول إلى خزائن المفاتيح على الأفراد المطلوبين فقط
  • تمكين MFA لجميع حسابات المسؤولين
  • توثيق إجراءات الوصول الطارئ
  • إرساء جدول تدوير المفاتيح

تقدير الجدول الزمني والجهد​

حجم المؤسسةالتخطيطالإعدادالاختبارالطرحالإجمالي
صغيرة (أقل من 500 مستخدم)أسبوع واحدأسبوع واحدأسبوع واحدأسبوع واحد4 أسابيع
متوسطة (500-5000 مستخدم)أسبوعانأسبوعانأسبوعان4-6 أسابيع10-12 أسبوعًا
كبيرة (5000+ مستخدم)4 أسابيعأسبوعان4 أسابيع12-16 أسبوعًا22-26 أسبوعًا

الخطوات التالية​

انظر أيضًا

الدعم والموارد​

هل تحتاج إلى مساعدة في نشرك؟