key-management
Schlüsselverwaltung
Alltägliche Schlüsselverwaltungsvorgänge für DuoKey Office 365 Customer Key, einschließlich der Verwaltung des Schlüssellebenszyklus sowie Rotations-, Backup- und Wiederherstellungsverfahren.
Überblick über den Schlüssellebenszyklus
Customer Keys in Office 365 folgen einem bestimmten Lebenszyklus:
Generierung
Schlüssel werden mit DuoKey unter Verwendung der MPC-Technologie erstellt.
Import
Schlüssel werden in den Azure Key Vault importiert.
Aktive Nutzung
Schlüssel verschlüsseln Daten in Office 365-Workloads.
Rotation
Schlüssel werden zur Sicherheit regelmäßig rotiert.
Ausmusterung
Alte Schlüssel werden archiviert, aber zur Entschlüsselung aufbewahrt.
Löschung
Schlüssel werden nach Ablauf des Aufbewahrungszeitraums endgültig gelöscht.
Verwaltung von Data Encryption Policies (DEPs)
Alle DEPs anzeigen
# Connect to Exchange Online
Connect-ExchangeOnline
# List all DEPs
Get-M365DataAtRestEncryptionPolicy |
Select-Object Name, Description, State, AssignedCount |
Format-Table -AutoSize
DEP-Details anzeigen
# Get detailed information about a specific DEP
Get-M365DataAtRestEncryptionPolicy -Identity "DEP-Prod-Mailboxes" |
Format-List *
# View key URIs associated with DEP
Get-M365DataAtRestEncryptionPolicy -Identity "DEP-Prod-Mailboxes" |
Select-Object -ExpandProperty AzureKeyIDs
Schlüsselrotation
Wann Schlüssel zu rotieren sind
Rotieren Sie Ihre Customer Keys, wenn:
- Sie der Schlüsselrotationsrichtlinie Ihrer Organisation folgen (in der Regel jährlich)
- nach einem Sicherheitsvorfall oder vermuteter Kompromittierung
- Personen mit Schlüsselzugriff die Organisation verlassen
- dies Teil der Compliance-Anforderungen ist
- nach umfangreichen Systemaktualisierungen
Prozess der Schlüsselrotation
Neue Schlüssel generieren
Generieren Sie neue Primär- und Sekundärschlüssel mit DuoKey MPC und exportieren Sie sie für den BYOK-Import.
Neue Schlüssel in den Azure Key Vault importieren
Importieren Sie die neuen Schlüssel mit Add-AzKeyVaultKey in Ihre Azure Key Vaults.
DEP mit neuen Schlüsseln aktualisieren
Verwenden Sie Set-M365DataAtRestEncryptionPolicy, um die DEP mit den neuen Schlüssel-URIs zu aktualisieren.
Erneute Verschlüsselung überwachen
Überwachen Sie den Fortschritt der erneuten Verschlüsselung mit Get-M365DataAtRestEncryptionPolicyAssignment.
Alte Schlüssel archivieren
Deaktivieren Sie nach erfolgreicher Rotation die alten Schlüssel im Key Vault (nicht sofort löschen).
Archivieren Sie alte Schlüssel immer, anstatt sie zu löschen. Alte Schlüssel werden möglicherweise noch benötigt, um zuvor verschlüsselte Daten zu entschlüsseln.
Rotationszeitplan
| Phase | Dauer | Aktivitäten |
|---|---|---|
| Planung | 1 Woche | Neue Schlüssel generieren, Import testen |
| Implementierung | 1-2 Tage | DEPs mit neuen Schlüsseln aktualisieren |
| Erneute Verschlüsselung | 3-7 Tage | Office 365 verschlüsselt die Daten erneut |
| Überprüfung | 1 Woche | Verschlüsselung überwachen und validieren |
| Bereinigung | Laufend | Alte Schlüssel nach Ablauf des Aufbewahrungszeitraums archivieren |
Schlüssel-Backup und -Wiederherstellung
Best Practices für Backups
Häufigkeit
Sichern Sie Schlüssel unmittelbar nach Erstellung und Rotation.
Speicherung
Speichern Sie Backups an einem sicheren, Offline-Speicherort mit starker Verschlüsselung.
Redundanz
Bewahren Sie Backups an mehreren geografischen Standorten auf.
Tests
Testen Sie die Verfahren zur Backup-Wiederherstellung regelmäßig.
Aufbewahrung
Bewahren Sie Backups gemäß den Compliance-Anforderungen auf (in der Regel 7 Jahre).
Zugriffssteuerung
Beschränken Sie den Backup-Zugriff ausschließlich auf autorisiertes Personal.
Schlüsselwiderruf
Notfall-Schlüsselwiderruf
Der Schlüsselwiderruf ist ein Notfallverfahren. Er verhindert sofort, dass Microsoft 365 auf verschlüsselte Daten zugreift, und verursacht eine vollständige Dienstunterbrechung für die betroffenen Benutzer.
Auswirkungen des Schlüsselwiderrufs
| Auswirkung | Beschreibung |
|---|---|
| Sofortig | Microsoft 365 kann nicht auf verschlüsselte Daten zugreifen |
| Auswirkung auf Benutzer | Benutzer können nicht auf ihre Postfächer, Dateien oder Teams-Daten zugreifen |
| Dauer | Bis die Schlüssel wiederhergestellt oder eine neue DEP zugewiesen wird |
| Wiederherstellung | Schlüssel wiederherstellen oder neue DEP erstellen, um den Zugriff wiederzuerlangen |
Verwaltung von Postfachzuweisungen
Das Entfernen einer DEP-Zuweisung entschlüsselt vorhandene Daten nicht. Zuvor verschlüsselte Daten bleiben mit der ursprünglichen DEP verschlüsselt. Nur neue Daten verwenden die standardmäßige Microsoft-Verschlüsselung.
Wartungsplan
| Häufigkeit | Aufgaben |
|---|---|
| Täglich | DEP-Zustandsstatus überwachen, auf Verschlüsselungsfehler prüfen, Schlüsselzugriffsprotokolle prüfen |
| Wöchentlich | Metriken zu Schlüsselvorgängen prüfen, Backup-Integrität validieren, Fortschritt der Postfachverschlüsselung prüfen, Audit-Protokolle prüfen |
| Monatlich | Compliance-Berichte erstellen, Zugriffsrichtlinien prüfen und aktualisieren, Verfahren zur Schlüsselwiederherstellung testen, Dokumentation aktualisieren |
| Vierteljährlich | Schlüsselrotation durchführen (falls erforderlich), umfassende Sicherheitsüberprüfung, Disaster-Recovery-Tests, Auffrischung der Mitarbeiterschulung |
| Jährlich | Umfangreiche Schlüsselrotation, vollständiges Compliance-Audit, Verfahren prüfen und aktualisieren, Business-Continuity-Pläne aktualisieren |
Support und Ressourcen
Für Unterstützung bei Schlüsselverwaltungsvorgängen:
- Technischer Support: [email protected]
- Dokumentation: DuoKey-Support
- Microsoft-Support: Microsoft 365 Admin Center