overview
DuoKey لمفتاح العميل في Office 365
تكامل سلس مع إطار عمل تشفير Microsoft للتحكم في مفاتيح التشفير الخاصة بك، والوفاء بالالتزامات التنظيمية، وحماية البيانات من الوصول غير المصرّح به.
الارتقاء بأمان البيانات في Office 365 من خلال إدارة المفاتيح المتقدمة
يتيح لك مفتاح العميل في Microsoft Office 365 توفير مفاتيح التشفير الجذرية والتحكم فيها وإدارتها، والتي تُستخدم لتشفير بياناتك أثناء السكون في Office 365. مع DuoKey لمفتاح العميل في Office 365، تحصل على قدرات متقدمة لإدارة المفاتيح باستخدام تقنية الحوسبة متعددة الأطراف (MPC)، مما يضمن عدم وجود نقطة فشل واحدة ويعزّز الوضع الأمني.
لماذا DuoKey لمفتاح العميل في Office 365؟
تحكم وامتثال معزّزان
أدِر مفاتيح التشفير الجذرية الخاصة بك لتلبية متطلبات الامتثال التي تستلزم ترتيبات إدارة مفاتيح مع مزوّد الخدمة السحابية.
تشفير قوي
يعمل جنبًا إلى جنب مع آليات التشفير الأصلية في Office 365 مثل BitLocker وتشفير الخدمة لتوفير طبقة أمان إضافية.
مرونة في إدارة المفاتيح
أدِر مفاتيح التشفير محليًا وفي السحابة على حد سواء، مما يوفّر تغطية شاملة عبر جميع البيانات أثناء السكون.
الميزات الرئيسية
تغطية شاملة للتشفير
يوسّع DuoKey قدرات التشفير عبر تطبيقات Office 365 المختلفة:
- Exchange Online (بيانات علبة البريد)
- SharePoint Online (المواقع والمستندات)
- OneDrive for Business (الملفات الشخصية)
- Microsoft Teams (المحادثات والملفات والتسجيلات)
تكامل سلس مع Office 365
يتكامل مع Office 365 دون تغيير تجربة المستخدم الأصلية، مع الحفاظ على الأداء والوظائف وتعزيز الأمان في الوقت نفسه.
قدرات إدارة المفاتيح المتقدمة
الحوسبة متعددة الأطراف (MPC): على عكس خدمات إدارة المفاتيح التقليدية، يستخدم DuoKey تقنية MPC لتعزيز الأمان عبر توزيع أجزاء من مفتاح التشفير على مواقع متعددة، مما يضمن عدم وجود نقطة فشل واحدة.
لا وصول منفرد
لا يملك أي طرف واحد وصولًا كاملًا إلى مفاتيح التشفير.
الحماية من التهديدات الداخلية
حماية معزّزة ضد التهديدات الداخلية.
عمليات آمنة
تُجرى العمليات التشفيرية دون كشف المفاتيح.
جاهز للامتثال
يلبّي متطلبات الامتثال الصارمة.
الميزة التنافسية
ما وراء حلول HSM التقليدية
يوفّر DuoKey قدرات حماية بيانات أكثر قوة من وحدات HSM التقليدية عبر السماح للمؤسسات بالاحتفاظ بالتحكم الكامل في مفاتيح التشفير الخاصة بها.
الحوسبة متعددة الأطراف
عمليات مفاتيح موزّعة دون نقطة اختراق واحدة.
تدقيق معزّز
قدرات تدقيق ومراقبة معزّزة.
نشر مرن
خيارات نشر سحابية أو محلية.
الامتثال التنظيمي
GDPR وHIPAA وSOC 2 واللوائح الخاصة بالصناعة.
التكامل مع تقنيات تشفير Microsoft
| التقنية | المستوى | الوصف |
|---|---|---|
| BitLocker | مستوى القرص | تشفير على مستوى القرص للأمان المادي |
| SSE (تشفير الخدمة) | مستوى الخدمة | تشفير على مستوى الخدمة داخل مراكز البيانات |
| مفتاح العميل | مستوى التطبيق | تشفير على مستوى التطبيق بمفاتيح يتحكم بها العميل |
يضيف DuoKey طبقة إضافية من التحكم في إدارة المفاتيح، مما يضمن أنه حتى في حال اختراق إحدى الطبقات، تبقى بياناتك محمية.
العملية التقنية لاستيراد BYOK
عملية إحضار مفتاحك الخاص (BYOK) هي طريقة شاملة تتيح للعملاء استيراد مفاتيح التشفير الخاصة بهم والتحكم فيها داخل Microsoft Office 365، مما يضمن تعزيز أمان البيانات والامتثال.
عملية BYOK لمفتاح العميل في Office 365
توليد المفتاح دون اتصال
تبدأ العملية بتوليد مفتاح العميل المستهدف على جهاز غير متصل بالإنترنت. يمكن أن يكون هذا المفتاح من نوع RSA (Rivest-Shamir-Adleman) أو EC (المنحنى الإهليلجي) أو AES (معيار التشفير المتقدم). يُشفَّر المفتاح باستخدام خوارزمية MRZ15 لمزيد من الأمان أثناء النقل.
توليد مفتاح تبادل المفاتيح (KEK) عبر الإنترنت
يُنشأ مفتاحا KEK من نوع RSA عبر الإنترنت من خلال أتمتة DuoKey وواجهة Azure Graph API. يُخزَّن هذان المفتاحان بأمان في خزنتي مفاتيح Azure، وهما خدمتا إدارة مفاتيح مدعومتان بوحدة HSM من طبقة Azure Premium.
استرداد المفتاح العام لـ KEK
تُسترد المفاتيح العامة لمفاتيح KEK التي وُلّدت في الخطوة السابقة، والتي ستُستخدم في الخطوات التالية لتأمين عملية التشفير.
إنشاء مفتاح AES مؤقت
يُولّد مفتاح AES مؤقت بطول 256 بت عبر الإنترنت، والذي سيُستخدم لتشفير مفتاح العميل أثناء النقل لضمان سريّته وسلامته.
تشفير مفتاح AES المؤقت
يُغلَّف مفتاح AES المؤقت بعد ذلك بأمان باستخدام مفاتيح RSA KEK من الخطوة 3، باستخدام خوارزمية RSA_PKCS_OAEP لتشفير قوي.
تغليف مفتاح العميل
يُغلَّف مفتاح العميل بمفتاح AES المولّد في الخطوة 4 باستخدام خوارزمية CKM_AES_KEY_WRAP_PAD. تؤمّن هذه الخطوة مفتاح العميل قبل تحميله إلى Azure Key Vault.
دمج مفتاح جلسة التشفير والرسالة المشفّرة
تُدمج المخرجات المشفّرة من الخطوة 5 والخطوة 6 لتشكيل حزمة رسالة آمنة تتضمّن كلًا من المفتاح المشفّر والبيانات المشفّرة، جاهزة للنقل أو التخزين الآمن.
إنشاء ملف BYOK للاستيراد
يُنشأ ملف BYOK بتنسيق JSON، والذي يتضمّن جميع المعلمات الضرورية والمفاتيح المشفّرة من الخطوات السابقة. هذا الملف جاهز للاستيراد إلى Azure Key Vault، مما يتيح الاستخدام الآمن لمفاتيح العميل ضمن بيئات Microsoft Office 365.
اعتبارات الأمان والامتثال
سيادة البيانات والتحكم فيها
يحتفظ العملاء بالتحكم الكامل في مفاتيحهم، مما يضمن الامتثال لقوانين ولوائح سيادة البيانات المحلية.
أمان معزّز
يُنشئ العملاء المفاتيح الجذرية ويحتفظون بها خارج Microsoft، ويأذنون باستخدامها في Azure Key Vault ويمكنهم إلغاء هذا الإذن.
التدقيق والامتثال
يدعم قدرات تدقيق تفصيلية، مما يتيح للمؤسسات مراقبة استخدام المفاتيح والوصول إليها لأغراض الامتثال.
كيف يعمل مفتاح العميل في Office 365
بنية التشفير
يستخدم Office 365 نهج تشفير متعدد الطبقات:
طبقة تشفير الخدمة
تشفّر Microsoft البيانات أثناء السكون باستخدام مفاتيح تشفير الخدمة (مفتاح تديره Microsoft).
طبقة مفتاح العميل
تشفّر مفاتيح العميل الخاصة بك مفاتيح تشفير الخدمة (مفتاح العميل الخاص بك من DuoKey).
طبقة BitLocker
تشفير إضافي على مستوى القرص للأمان المادي.
عملية تشفير البيانات
User Data (Plaintext)
|
[Layer 1: Service Encryption]
| (Microsoft-managed key)
Service-Encrypted Data
|
[Layer 2: Customer Key Encryption]
| (Your Customer Key from DuoKey)
Customer Key-Encrypted Data
|
[Layer 3: BitLocker Encryption]
| (Disk-level encryption)
Fully Encrypted Data at Rest
التسلسل الهرمي للمفاتيح
Customer Key (Your control via DuoKey)
|
Data Encryption Policy (DEP)
|
Intermediate Keys
|
Per-mailbox/per-file Keys
|
Encrypted User Data
حالات الاستخدام
السيناريو: الحاجة إلى الامتثال للوائح المالية التي تتطلب التحكم في الوصول إلى البيانات وإدارة المفاتيح.
الحل: يتيح DuoKey للمؤسسات المالية إدارة مفاتيحها الخاصة، مما يعزّز الأمان ويضمن الامتثال لـ GDPR وSOX وPCI DSS وBasel III.
الفوائد:
- إثبات التحكم في مفاتيح التشفير للمدققين
- تلبية متطلبات إقامة البيانات
- قدرات الإلغاء الفوري للمفاتيح
- مسار تدقيق كامل لعمليات المفاتيح
أعباء عمل Office 365 المدعومة
Exchange Online
تشفير بيانات علبة البريد، وتشفير علبة بريد الأرشيف، وتشفير البيانات المفهرسة بواسطة Exchange Search.
SharePoint Online وOneDrive
مكتبات المستندات، والقوائم وعناصر القوائم، ومحتوى المواقع، وفهارس البحث، وملفات OneDrive الشخصية.
Microsoft Teams
رسائل المحادثة والمحادثات، والملفات المشتركة في قنوات Teams، وتسجيلات الاجتماعات، ومحتوى موقع Teams.
Skype for Business
سجل المحادثات، والملفات المشتركة، ومحتوى الاجتماعات.
تقنية الحوسبة متعددة الأطراف (MPC)
يستفيد DuoKey من تقنية MPC لتوفير أمان معزّز لمفاتيح العميل الخاصة بك في Office 365.
كيف تعمل MPC
تقسيم المفتاح
يُقسَّم مفتاح العميل الخاص بك رياضيًا إلى حصص متعددة.
التخزين الموزّع
تُخزَّن الحصص في مواقع منفصلة ومعزولة.
العمليات بالعتبة
عدد أدنى من الحصص (العتبة) مطلوب للعمليات.
لا نقطة وصول واحدة
لا يستطيع أي طرف واحد الوصول إلى المفتاح الكامل أو إعادة بنائه.
فوائد MPC
لا نقطة فشل واحدة
حتى لو تم اختراق أحد المواقع، يبقى مفتاحك آمنًا.
تحكم معزّز في الوصول
يجب أن تتعاون أطراف متعددة لإجراء عمليات المفاتيح.
عمليات تشفيرية
تُجرى دون كشف المفتاح الكامل أبدًا.
ميزة الامتثال
تُظهر ضوابط أمنية معزّزة للمدققين.
إلغاء المفاتيح واسترداد البيانات
الإلغاء الفوري للمفاتيح
إلغاء المفاتيح سيمنع فورًا Microsoft من فكّ تشفير بياناتك. سيفقد المستخدمون الوصول إلى علب بريدهم وملفاتهم وبيانات Teams حتى تُستعاد المفاتيح.
إلغاء توفير المفاتيح
أزِل مفاتيح العميل من Azure Key Vault.
التأثير الفوري
تفقد Microsoft الوصول لفكّ تشفير بياناتك خلال ساعات.
حماية البيانات
تبقى بياناتك مشفّرة ويتعذّر الوصول إليها.
مفتاح الإتاحة
تحتفظ Microsoft بمفتاح إتاحة (Availability Key) كآلية احتياطية. يُستخدم فقط في سيناريوهات محددة (مثل عدم توفّر المفتاح)، ولا يمنح Microsoft وصولًا روتينيًا إلى بياناتك، ويخضع لضوابط وصول وتدقيق صارمة.
استرداد المفاتيح
استعادة مفاتيح العميل
استعِد مفاتيح العميل إلى Azure Key Vault.
تحديث سياسة DEP
حدّث سياسة تشفير البيانات (DEP).
استرداد الخدمة
تستعيد الخدمة تلقائيًا الوصول لفكّ تشفير البيانات.
المتطلبات المسبقة
المتطلبات المسبقة
- ترخيص Office 365 Enterprise E5 (أو إضافة E5 Compliance)
- Exchange Online Plan 2
- SharePoint Online Plan 2
- OneDrive for Business Plan 2
- دور المسؤول العام للتكوين
- اشتراك Azure
- Azure Key Vault Premium (المدعوم بوحدة HSM) في منطقتين
- أذونات Azure Active Directory المناسبة
- مجموعة موارد لنشر خزنة المفاتيح
- الوصول إلى منصة DuoKey
- تكوين DuoKey Cockpit لمفتاح العميل في Office 365
- ترخيص DuoKey صالح
- اتصال HTTPS بين Office 365 وAzure Key Vault
- اتصال صادر من خدمات Office 365
- تكوينات جدار الحماية والوكيل المناسبة
اعتبارات الأداء
التأثير على تجربة المستخدم
صُمِّمت عمليات مفتاح العميل لتحقيق أدنى تأثير على المستخدمين النهائيين. يحدث التشفير وفكّ التشفير بشفافية دون تدهور ملحوظ في الأداء. تجري إدارة المفاتيح كعمليات في الخلفية.
الجدول الزمني للتشفير الأولي
| عبء العمل | الجدول الزمني | ملاحظات |
|---|---|---|
| علب البريد | 24-48 ساعة لكل سياسة DEP | يعتمد على حجم علبة البريد |
| SharePoint/OneDrive | عدة أيام إلى أسابيع | يعتمد على حجم البيانات |
| Teams | يتّبع الجدول الزمني لـ SharePoint | تُخزَّن البيانات في SharePoint |
العمليات المستمرة
- تشفير في الوقت الفعلي للمحتوى الجديد
- دعم التدوير التلقائي للمفاتيح
- تشفير مستمر في الخلفية للمحتوى غير المشفّر
المراقبة والتدقيق
سجلّات تدقيق DuoKey
محاولات الوصول إلى المفاتيح، والعمليات الناجحة/الفاشلة، والتغييرات الإدارية، وتقارير الامتثال.
سجلّات تدقيق Office 365
تعيينات سياسة DEP، واستخدام المفاتيح، والإجراءات الإدارية، والحوادث الأمنية.
نقاط التكامل
Azure Monitor، ومركز أمان وامتثال Office 365، وDuoKey Cockpit، والتكامل مع SIEM.
الحصص والحدود
حدود مفتاح العميل في Office 365
| المورد | الحد |
|---|---|
| الحد الأقصى لسياسات DEP لكل مستأجر | 50 |
| نطاق تعيين سياسة DEP | علب بريد/مواقع متعددة لكل سياسة DEP |
| الحد الأدنى لحجم المفتاح | مفاتيح RSA بطول 2048 بت |
| عمليات تحديث المفاتيح | تخضع لتقييد Azure Key Vault |
حدود Azure Key Vault
| المورد | الحد |
|---|---|
| المفاتيح لكل خزنة | 25,000 |
| العمليات لكل 10 ثوانٍ | تتفاوت حسب نوع المفتاح والعملية |
| الحصص الخاصة بالمنطقة | تُطبَّق لكل منطقة من مناطق Azure |
أفضل الممارسات
إدارة المفاتيح
احتفظ بنسخ احتياطية غير متصلة، وخطّط لتدوير منتظم للمفاتيح، وطبّق الوصول بأقل الامتيازات، وخزّن المفاتيح في مناطق Azure مختلفة.
الأمان
اطلب MFA للوصول الإداري، واستخدم مستأجري Azure منفصلين، ومكّن التسجيل الشامل، وطوّر إجراءات الاستجابة للحوادث.
التميّز التشغيلي
اختبر تعيينات سياسة DEP في بيئة غير إنتاجية، واحتفظ بأدلة تشغيلية تفصيلية، واتّبع عمليات تغيير منظّمة، ودرّب فريق تقنية المعلومات.
المقارنة مع الحلول الأخرى
مفتاح العميل مقابل التشفير الافتراضي
| الميزة | تشفير الخدمة الافتراضي | مفتاح العميل |
|---|---|---|
| التحكم في المفاتيح | تديره Microsoft | يديره العميل |
| موقع المفتاح | مراكز بيانات Microsoft | Azure Key Vault (الخاصة بالعميل) |
| الامتثال | امتثال قياسي | امتثال معزّز (سيادة البيانات) |
| إلغاء المفتاح | غير ممكن | قدرة الإلغاء الفوري |
| التحكم في التدقيق | سجلّات تدقيق Microsoft | سجلّات تدقيق العميل + سجلّات Microsoft |
| التكلفة | مضمّنة | يتطلب ترخيصًا إضافيًا |
مفتاح العميل مقابل Customer Lockbox
| الميزة | مفتاح العميل | Customer Lockbox |
|---|---|---|
| الغرض | التحكم في مفتاح التشفير | الموافقة على طلبات الوصول |
| النطاق | تشفير البيانات أثناء السكون | وصول دعم Microsoft |
| التطبيق | يتطلب إعدادًا تقنيًا | سير عمل موافقة إدارية |
| تأثير الامتثال | حماية معزّزة للبيانات | حوكمة معزّزة للوصول |
البدء
البدء
دليل العمليات
تعرّف على إدارة المفاتيح اليومية.
أفضل الممارسات
اتّبع إرشادات الأمان والتميّز التشغيلي.
استكشاف الأخطاء وإصلاحها
للحصول على إرشادات تفصيلية حول استكشاف الأخطاء وإصلاحها، راجع دليل استكشاف الأخطاء وإصلاحها.
الدعم
للدعم الفني أو الأسئلة حول DuoKey لمفتاح العميل في Office 365:
- البريد الإلكتروني: [email protected]
- الوثائق: دعم DuoKey
- وثائق Microsoft: تشفير الخدمة باستخدام مفتاح العميل