تعريفات إدارة المفاتيح
تعريفات إدارة المفاتيح
فهم مصطلحات ومفاهيم DKE الخاصة بـ Microsoft 365
المستأجر (Tenant)
يُعد المستأجر الحاوية عالية المستوى لإدارة المفاتيح التشفيرية. وهو يمثل عادةً مؤسسة بأكملها بدلاً من فرد واحد. ينتمي كل مفتاح وخزينة وتطبيق في DuoKey إلى مستأجر واحد بالضبط. والمستأجرون معزولون تماماً عن بعضهم البعض.
لا يمكن نقل المفاتيح والخزائن والتطبيقات بين المستأجرين. من الممكن وجود عدة مستأجرين إذا كنت متأكداً من أن الكائنات لن تحتاج إلى المشاركة أو النقل عبرهم.
الوحدة التنظيمية (Organization Unit)
تقابل الوحدة التنظيمية في DuoKey وحدة عمل أو قسماً داخل مستأجر. وهي تمثل قسماً فرعياً من المؤسسة وليست مرتبطة بأي مستخدم محدد. تنتمي كل خزينة إلى وحدة تنظيمية واحدة. ومثل المستأجرين، تكون المؤسسات معزولة عن بعضها البعض.
على عكس المستأجرين، يمكن إعادة تعيين الخزائن والتطبيقات بين وحدات تنظيمية مختلفة. لذلك، يمكنك إنشاء عدة مؤسسات داخل مستأجر بمرونة أكبر.
المستخدمون (Users)
يُعرَّف المستخدمون بعناوين بريدهم الإلكتروني. ويمكن أن ينتمي المستخدم الواحد إلى وحدة تنظيمية واحدة أو أكثر داخل المستأجر.
على سبيل المثال، قد ينتمي الموظف إلى:
- وحدة تنظيمية إنتاجية
- وحدة تنظيمية للاختبار
- حساب تطوير شخصي
بناءً على دور المستخدم والأذونات المعينة له، يمكنه:
- إدارة المستخدمين والخزائن
- إنشاء المفاتيح
- تعديل خصائص المفاتيح
- مراجعة سجلات النشاط
لا يمكن للمستخدمين إجراء عمليات تشفيرية بأنفسهم—فقط التطبيقات المسجّلة يمكنها تنفيذ تلك العمليات.
الأدوار (Roles)
يأتي DuoKey مع مجموعة من الأدوار المحددة مسبقاً لكل مستأجر، والتي يمكن تخصيصها بشكل مستقل لتلبية الاحتياجات التنظيمية:
| الدور | الوصف |
|---|---|
| DKE-Services | تُستخدم من قبل خدمة الويب DKE (على سبيل المثال، تطبيقات Microsoft 365 Office) لإجراء العمليات التشفيرية. مقتصرة على الاستخدام التشغيلي ولا يمكنها أداء المهام الإدارية. |
| DuoKey – Host | مخصص لموظفي DuoKey المسؤولين عن الإدارة والدعم على مستوى المستأجر. |
| DuoKey – Tenant Admin | مسؤول العميل الذي يتمتع بحقوق إدارية داخل المستأجر. يمكنه الوصول إلى DuoKey DKE Cockpit، وإنشاء مفاتيح DKE وخدمات الويب، وإدارة المستخدمين والمجموعات. |
| DuoKey – Auditor | دور للقراءة فقط مع إمكانية الوصول لعرض المفاتيح والخدمات وسجلات التدقيق/النشاط. مثالي لأغراض الامتثال أو المراقبة. |
المفاتيح (Keys)
يُخزَّن المفتاح داخل قسم DuoKey MPC (خزينة) ويمثل إما مفتاحاً متماثلاً أو زوج مفاتيح غير متماثل. بالنسبة للمفاتيح غير المتماثلة، يُخزَّن كل من المكونين الخاص والعام معاً في كائن مفتاح واحد.
ينتمي كل مفتاح إلى خزينة واحدة بالضبط. ويُحكم الوصول إلى المفتاح بواسطة الأذونات المعينة للخزينة التي يوجد فيها. ويمكن للمستخدمين والتطبيقات التي لديها إمكانية الوصول إلى الخزينة عرض مفاتيحها والعمل عليها.
لا يمكن للمستخدمين أو التطبيقات غير المعينة للخزينة رؤية مفاتيحها أو التفاعل معها. لمزيد من التفاصيل، راجع قسم التخويل.
حالات المفاتيح (Key States)
تتوافق حالات المفاتيح مع NIST SP800-57 - توصيات إدارة المفاتيح - الفصل 7 حالات المفاتيح وانتقالاتها
| الحالة | الوصف |
|---|---|
| PreActive | يتم إنشاء المفتاح على وحدة HSM ولكنه ليس نشطاً بعد. في حال تحديد قيد لوقت التفعيل، سيصبح المفتاح نشطاً تلقائياً عند بلوغ ذلك الوقت. |
| Active | يمكن استخدام المفتاح للعمليات التشفيرية وهي الحالة الافتراضية. |
| Deactivated | لا يمكن استخدام المفتاح لعمليات تشفير جديدة ولكنه لا يزال مطلوباً لفك التشفير (مثل الملفات المشفرة القديمة) |
| Compromised | مفتاح معروف أو يُشتبه في أنه مخترق. لا ينبغي استخدام هذا المفتاح مرة أخرى أبداً. |
لا يمكن إعادة تفعيل المفاتيح التي في حالة Deactivated أو Compromised!
المرجع: NIST SP 800-57 Part 1 Rev 5 - الفصل 7 حالات المفاتيح وانتقالاتها
الخزائن (Vaults)
الخزينة هي حاوية منطقية لتجميع المفاتيح ذات الصلة. ترث جميع المفاتيح في الخزينة نفس سياسات الوصول وسياسات الموافقة، التي تُحدَّد على مستوى الخزينة.
وصول متعدد المستخدمين
يمكن منح إمكانية الوصول لعدة مستخدمين وتطبيقات
حدود أمنية
تعمل الخزائن كحدود أمنية للوصول إلى المفاتيح
الإعداد الافتراضي
خزينة مخصصة واحدة على الأقل لكل مستأجر
إذا كنت بحاجة إلى مزيد من الخزائن، يُرجى التواصل مع مندوب المبيعات لديك، أو فتح طلب على بوابة دعم DuoKey.
التطبيقات (خدمة الويب DKE)
يشير التطبيق إلى عميل غير بشري—مثل خدمة أو برنامج خفي (daemon) أو عملية في الخلفية—يتفاعل مع DuoKey. تُصادق التطبيقات (تطبيقات Microsoft 365 Office) على DuoKey باستخدام مفتاح API (رمز سري).
بناءً على الأذونات المعينة، يمكن للتطبيقات:
- إنشاء المفاتيح
- تعديل خصائص المفاتيح
- إجراء العمليات التشفيرية باستخدام المفاتيح
لا يمكن للتطبيقات أداء المهام الإدارية مثل إدارة المستخدمين أو تعيين الوصول إلى الخزائن.
يمكن تعيين تطبيق إلى خزينة واحدة أو أكثر. وبمجرد التعيين، يحصل على إذن للعمل على جميع المفاتيح داخل تلك الخزائن.
سياسة الوصول المشروط (التخويل)
تُمكّن سياسة الوصول المشروط من تخويل دقيق للعمليات على كيانات مثل الخزائن والمفاتيح والتطبيقات (Apps).
عندما يتفاعل تطبيق مع خزينة أو مفتاح، تُطبَّق ضوابط الأمان التالية:
| الضابط | الوصف |
|---|---|
| التحكم بالنصاب (Quorum Control) | يسمح بفرض موافقات متعددة الأطراف (قريباً) |
| التحكم في الوصول القائم على الأدوار (RBAC) | تُحدَّد أذونات التطبيق عبر الأدوار المعينة له |
| سياسات الوصول المشروط | قواعد دقيقة تحكم ما يمكن للتطبيق فعله |
| التحكم في الحالة | يمكن تمكين التطبيقات أو تعطيلها صراحةً |
السياسات الشائعة التطبيق
متطلبات المصادقة متعددة العوامل
- اشتراط المصادقة متعددة العوامل للأدوار الإدارية
- فرض المصادقة متعددة العوامل للعمليات عالية التأثير
ثقة الجهاز
- حظر الوصول من الأجهزة غير المسجَّلة
- اشتراط امتثال الأجهزة المُدارة
التحكم في الموقع
- اشتراط الوصول من مواقع شبكات موثوقة
- التقييد أو السماح حسب الموقع الجغرافي
قائم على المخاطر
- حظر سلوكيات تسجيل الدخول الخطرة
- اكتشاف السفر المستحيل أو عناوين IP المُخفاة