getting-started

Erste Schritte

Durchlaufen Sie die Ersteinrichtung und Konfiguration von DuoKey für Office 365 Customer Key, damit Sie Ihre Verschlüsselungsschlüssel für in Microsoft 365 gespeicherte Daten kontrollieren können.

Gilt für:

Office 365 E5Azure Key Vault PremiumDuoKey Platform

Überblick

Die Implementierung von DuoKey für Office 365 Customer Key umfasst mehrere wesentliche Schritte:

1

Voraussetzungen überprüfen

Stellen Sie sicher, dass Sie über die erforderlichen Lizenzen und Berechtigungen verfügen.

2

Azure Key Vaults einrichten

Erstellen und konfigurieren Sie Azure Key Vaults zur Speicherung Ihrer Schlüssel.

3

Customer Keys generieren

Erstellen Sie Verschlüsselungsschlüssel mit DuoKey unter Verwendung der MPC-Technologie.

4

Schlüssel bei Microsoft 365 registrieren

Importieren Sie Schlüssel in den Azure Key Vault.

5

Data Encryption Policies (DEPs) erstellen

Konfigurieren Sie DEPs für Ihre Workloads.

6

DEPs zuweisen

Wenden Sie Verschlüsselungsrichtlinien auf Postfächer, Sites und Teams an.

7

Überwachen und warten

Richten Sie das Monitoring ein und etablieren Sie betriebliche Verfahren.

Checkliste der Voraussetzungen

Stellen Sie vor der Implementierung sicher, dass alle Voraussetzungen erfüllt sind.

Voraussetzungen

• Office 365 Enterprise E5-Lizenz (oder E5 Compliance-Add-on)
• Exchange Online Plan 2
• SharePoint Online Plan 2
• OneDrive for Business Plan 2
• Microsoft Teams im Abonnement enthalten
• Globale Administratorrolle in Microsoft 365
• Compliance-Administratorrolle (empfohlen)
• Multi-Faktor-Authentifizierung (MFA) aktiviert

Voraussetzungen

• Azure-Abonnement (kann vom Microsoft 365-Abonnement getrennt sein)
• Möglichkeit, Azure Key Vaults in zwei verschiedenen Regionen zu erstellen
• Azure Key Vault Premium-Tarif (HSM-gestützt) verfügbar
• Berechtigungen zum Erstellen von Ressourcengruppen
• Berechtigungen zum Erstellen von Dienstprinzipalen
• Administratorzugriff auf Azure Active Directory
• Verständnis der rollenbasierten Zugriffssteuerung (RBAC) in Azure

Bereitstellungsplanung

Wählen Sie Ihre Bereitstellungsstrategie

Pilot-Bereitstellung

Beginnen Sie mit 10-50 Testbenutzern. Validieren Sie Verschlüsselung und Leistung. Empfohlen für Erstanwender. Zeitrahmen: 2-4 Wochen.

Phasenweise Produktion

Phase 1: VIP-Postfächer. Phase 2: Abteilungen. Phase 3: Allgemeine Belegschaft. Zeitrahmen: 2-6 Monate.

Vollständige Produktion

Gleichzeitige Bereitstellung für alle Benutzer. Am besten geeignet für Organisationen mit weniger als 1.000 Benutzern. Erfordert dediziertes Monitoring. Zeitrahmen: 4-8 Wochen.

Auswahl der Workloads

Workload	Komplexität	Auswirkung	Empfohlene Reihenfolge
Exchange Online (Postfächer)	Mittel	Hoch	1.
SharePoint Online	Hoch	Hoch	2.
OneDrive for Business	Hoch	Mittel	3.
Microsoft Teams	Hoch	Mittel	4.

Schnellstart: Pilotumgebung

Folgen Sie für eine Proof-of-Concept-Pilotbereitstellung diesen Schritten.

Schritt 1: Azure Key Vaults erstellen

Sie benötigen zwei Azure Key Vaults in verschiedenen Azure-Regionen für Redundanz.

# Install Azure PowerShell module if not already installed
Install-Module -Name Az -AllowClobber -Force

# Connect to Azure
Connect-AzAccount

# Set variables
$subscriptionId = "your-subscription-id"
$resourceGroupName = "rg-customer-key-pilot"
$location1 = "eastus"
$location2 = "westus"
$keyVaultName1 = "kv-customerkey-eus-01"
$keyVaultName2 = "kv-customerkey-wus-01"

# Set subscription context
Set-AzContext -SubscriptionId $subscriptionId

# Create resource group
New-AzResourceGroup -Name $resourceGroupName -Location $location1

# Create first Key Vault (Premium tier with HSM)
New-AzKeyVault -Name $keyVaultName1 `
    -ResourceGroupName $resourceGroupName `
    -Location $location1 `
    -Sku Premium `
    -EnabledForDeployment `
    -EnabledForTemplateDeployment `
    -EnablePurgeProtection `
    -EnableSoftDelete

# Create second Key Vault
New-AzKeyVault -Name $keyVaultName2 `
    -ResourceGroupName $resourceGroupName `
    -Location $location2 `
    -Sku Premium `
    -EnabledForDeployment `
    -EnabledForTemplateDeployment `
    -EnablePurgeProtection `
    -EnableSoftDelete

Schritt 2: Customer Keys mit DuoKey generieren

Verwenden Sie DuoKey, um Verschlüsselungsschlüssel mit MPC-Technologie zu generieren:

# Login to DuoKey Cockpit
duokey login --username your-username

# Generate a new Customer Key using MPC
duokey key generate \
    --name "CustomerKey-Pilot-Primary" \
    --algorithm RSA \
    --size 2048 \
    --type customer-key \
    --mpc-threshold 2 \
    --mpc-shares 3

# Generate a second key for redundancy
duokey key generate \
    --name "CustomerKey-Pilot-Secondary" \
    --algorithm RSA \
    --size 2048 \
    --type customer-key \
    --mpc-threshold 2 \
    --mpc-shares 3

# Export keys for BYOK import
duokey key export \
    --name "CustomerKey-Pilot-Primary" \
    --format byok \
    --output primary-key.byok

duokey key export \
    --name "CustomerKey-Pilot-Secondary" \
    --format byok \
    --output secondary-key.byok

Schritt 3: Schlüssel in den Azure Key Vault importieren

# Import primary key to first vault
$primaryKey = Add-AzKeyVaultKey -VaultName $keyVaultName1 `
    -Name "CustomerKey-Pilot-Primary" `
    -KeyFilePath "./primary-key.byok" `
    -Destination HSM

# Import secondary key to second vault
$secondaryKey = Add-AzKeyVaultKey -VaultName $keyVaultName2 `
    -Name "CustomerKey-Pilot-Secondary" `
    -KeyFilePath "./secondary-key.byok" `
    -Destination HSM

# Display key URIs (needed for DEP creation)
Write-Host "Primary Key URI: $($primaryKey.Id)"
Write-Host "Secondary Key URI: $($secondaryKey.Id)"

Schritt 4: Microsoft 365 Zugriff auf die Key Vaults gewähren

# Get Microsoft 365 service principal IDs
$exchangeServicePrincipal = "00000002-0000-0ff1-ce00-000000000000"
$sharepointServicePrincipal = "00000003-0000-0ff1-ce00-000000000000"

# Set access policy for Exchange Online on first vault
Set-AzKeyVaultAccessPolicy -VaultName $keyVaultName1 `
    -ServicePrincipalName $exchangeServicePrincipal `
    -PermissionsToKeys wrapKey,unwrapKey,get

# Set access policy for SharePoint Online on first vault
Set-AzKeyVaultAccessPolicy -VaultName $keyVaultName1 `
    -ServicePrincipalName $sharepointServicePrincipal `
    -PermissionsToKeys wrapKey,unwrapKey,get

# Repeat for second vault
Set-AzKeyVaultAccessPolicy -VaultName $keyVaultName2 `
    -ServicePrincipalName $exchangeServicePrincipal `
    -PermissionsToKeys wrapKey,unwrapKey,get

Set-AzKeyVaultAccessPolicy -VaultName $keyVaultName2 `
    -ServicePrincipalName $sharepointServicePrincipal `
    -PermissionsToKeys wrapKey,unwrapKey,get

Schritt 5: Verbindung zu Exchange Online PowerShell herstellen

# Install Exchange Online PowerShell module
Install-Module -Name ExchangeOnlineManagement -Force

# Connect to Exchange Online
Connect-ExchangeOnline -UserPrincipalName [email protected]

# Verify connection
Get-OrganizationConfig | Select-Object Name

Schritt 6: Data Encryption Policy (DEP) erstellen

# Create DEP for Exchange Online mailboxes
New-M365DataAtRestEncryptionPolicy `
    -Name "DEP-Pilot-Mailboxes" `
    -Description "Pilot Customer Key DEP for Exchange Online" `
    -AzureKeyIDs @($primaryKey.Id, $secondaryKey.Id) `
    -Enabled $true

# Verify DEP creation
Get-M365DataAtRestEncryptionPolicy -Identity "DEP-Pilot-Mailboxes"

Schritt 7: DEP den Pilot-Postfächern zuweisen

# Assign DEP to a single mailbox
Set-Mailbox -Identity [email protected] `
    -DataEncryptionPolicy "DEP-Pilot-Mailboxes"

# Assign DEP to multiple mailboxes
$pilotUsers = @(
    "[email protected]",
    "[email protected]",
    "[email protected]"
)

foreach ($user in $pilotUsers) {
    Set-Mailbox -Identity $user -DataEncryptionPolicy "DEP-Pilot-Mailboxes"
    Write-Host "Assigned DEP to $user"
}

Schritt 8: Verschlüsselungsfortschritt überwachen

# Check encryption status
Get-M365DataAtRestEncryptionPolicyAssignment `
    -Identity "DEP-Pilot-Mailboxes" |
    Format-Table -AutoSize

# Check individual mailbox encryption status
Get-MailboxStatistics -Identity [email protected] |
    Select-Object DisplayName, IsEncrypted, EncryptionStatus

Best-Practices-Checkliste

Vor dem Live-Gang

Arbeiten Sie diese Checklisten ab, bevor Sie Customer Key in der Produktion aktivieren.

Voraussetzungen

• Schlüssel an einem sicheren Offline-Speicherort gesichert
• Zugriff auf die Key Vaults ausschließlich auf erforderliches Personal beschränkt
• MFA für alle Administratorkonten aktiviert
• Verfahren für den Notfallzugriff dokumentiert
• Zeitplan für die Schlüsselrotation festgelegt

Zeitrahmen und Aufwandsschätzung

Organisationsgröße	Planung	Einrichtung	Tests	Rollout	Gesamt
Klein (unter 500 Benutzer)	1 Woche	1 Woche	1 Woche	1 Woche	4 Wochen
Mittel (500-5.000 Benutzer)	2 Wochen	2 Wochen	2 Wochen	4-6 Wochen	10-12 Wochen
Groß (5.000+ Benutzer)	4 Wochen	2 Wochen	4 Wochen	12-16 Wochen	22-26 Wochen

Nächste Schritte

Siehe auch

• Alltägliche Betriebsvorgänge
• Best Practices für die Sicherheit
• Verfahren zur Fehlerbehebung
• ↗Microsoft Customer Key-Dokumentation
• ↗Best Practices für Azure Key Vault
• ↗Leitfaden zur DuoKey MPC-Technologie

Support und Ressourcen

Benötigen Sie Hilfe bei Ihrer Bereitstellung?

• Technischer Support: [email protected]
• Vertriebsanfragen: [email protected]
• Dokumentation: DuoKey-Support
• Microsoft-Support: Microsoft 365 Admin Center