getting-started

Prise en main

Suivez la configuration et le paramétrage initiaux de DuoKey pour Office 365 Customer Key afin de contrôler vos clés de chiffrement pour les données stockées dans Microsoft 365.

S'applique à :

Office 365 E5Azure Key Vault PremiumDuoKey Platform

Vue d'ensemble

La mise en œuvre de DuoKey pour Office 365 Customer Key comporte plusieurs étapes clés :

1

Vérifier les prérequis

Assurez-vous de disposer des licences et autorisations requises.

2

Configurer les Azure Key Vaults

Créez et configurez des Azure Key Vaults pour stocker vos clés.

3

Générer les Customer Keys

Créez des clés de chiffrement à l'aide de DuoKey avec la technologie MPC.

4

Enregistrer les clés auprès de Microsoft 365

Importez les clés dans Azure Key Vault.

5

Créer des politiques de chiffrement des données (DEP)

Configurez les DEP pour vos charges de travail.

6

Affecter les DEP

Appliquez les politiques de chiffrement aux boîtes aux lettres, sites et équipes.

7

Surveiller et maintenir

Configurez la surveillance et établissez des procédures opérationnelles.

Liste de contrôle des prérequis

Avant de procéder à la mise en œuvre, assurez-vous que tous les prérequis sont en place.

Prérequis

• Licence Office 365 Enterprise E5 (ou module complémentaire E5 Compliance)
• Exchange Online Plan 2
• SharePoint Online Plan 2
• OneDrive for Business Plan 2
• Microsoft Teams inclus dans l'abonnement
• Rôle d'administrateur général dans Microsoft 365
• Rôle d'administrateur de conformité (recommandé)
• Authentification multifacteur (MFA) activée

Prérequis

• Abonnement Azure (peut être distinct de l'abonnement Microsoft 365)
• Possibilité de créer des Azure Key Vaults dans deux régions différentes
• Niveau Azure Key Vault Premium (adossé à un HSM) disponible
• Autorisations pour créer des groupes de ressources
• Autorisations pour créer des principaux de service
• Accès administrateur Azure Active Directory
• Compréhension du contrôle d'accès basé sur les rôles (RBAC) d'Azure

Planification du déploiement

Choisir votre stratégie de déploiement

Déploiement pilote

Commencez avec 10 à 50 utilisateurs de test. Validez le chiffrement et les performances. Recommandé pour les nouveaux utilisateurs. Calendrier : 2 à 4 semaines.

Production progressive

Phase 1 : boîtes aux lettres VIP. Phase 2 : départements. Phase 3 : population générale. Calendrier : 2 à 6 mois.

Production complète

Déployez auprès de tous les utilisateurs simultanément. Idéal pour les organisations de moins de 1 000 utilisateurs. Nécessite une surveillance dédiée. Calendrier : 4 à 8 semaines.

Sélection des charges de travail

Charge de travail	Complexité	Impact	Ordre recommandé
Exchange Online (boîtes aux lettres)	Moyenne	Élevé	1er
SharePoint Online	Élevée	Élevé	2e
OneDrive for Business	Élevée	Moyen	3e
Microsoft Teams	Élevée	Moyen	4e

Démarrage rapide : environnement pilote

Pour un déploiement pilote de type preuve de concept, suivez ces étapes.

Étape 1 : Créer les Azure Key Vaults

Vous avez besoin de deux Azure Key Vaults dans des régions Azure différentes pour la redondance.

# Install Azure PowerShell module if not already installed
Install-Module -Name Az -AllowClobber -Force

# Connect to Azure
Connect-AzAccount

# Set variables
$subscriptionId = "your-subscription-id"
$resourceGroupName = "rg-customer-key-pilot"
$location1 = "eastus"
$location2 = "westus"
$keyVaultName1 = "kv-customerkey-eus-01"
$keyVaultName2 = "kv-customerkey-wus-01"

# Set subscription context
Set-AzContext -SubscriptionId $subscriptionId

# Create resource group
New-AzResourceGroup -Name $resourceGroupName -Location $location1

# Create first Key Vault (Premium tier with HSM)
New-AzKeyVault -Name $keyVaultName1 `
    -ResourceGroupName $resourceGroupName `
    -Location $location1 `
    -Sku Premium `
    -EnabledForDeployment `
    -EnabledForTemplateDeployment `
    -EnablePurgeProtection `
    -EnableSoftDelete

# Create second Key Vault
New-AzKeyVault -Name $keyVaultName2 `
    -ResourceGroupName $resourceGroupName `
    -Location $location2 `
    -Sku Premium `
    -EnabledForDeployment `
    -EnabledForTemplateDeployment `
    -EnablePurgeProtection `
    -EnableSoftDelete

Étape 2 : Générer les Customer Keys avec DuoKey

Utilisez DuoKey pour générer des clés de chiffrement avec la technologie MPC :

# Login to DuoKey Cockpit
duokey login --username your-username

# Generate a new Customer Key using MPC
duokey key generate \
    --name "CustomerKey-Pilot-Primary" \
    --algorithm RSA \
    --size 2048 \
    --type customer-key \
    --mpc-threshold 2 \
    --mpc-shares 3

# Generate a second key for redundancy
duokey key generate \
    --name "CustomerKey-Pilot-Secondary" \
    --algorithm RSA \
    --size 2048 \
    --type customer-key \
    --mpc-threshold 2 \
    --mpc-shares 3

# Export keys for BYOK import
duokey key export \
    --name "CustomerKey-Pilot-Primary" \
    --format byok \
    --output primary-key.byok

duokey key export \
    --name "CustomerKey-Pilot-Secondary" \
    --format byok \
    --output secondary-key.byok

Étape 3 : Importer les clés dans Azure Key Vault

# Import primary key to first vault
$primaryKey = Add-AzKeyVaultKey -VaultName $keyVaultName1 `
    -Name "CustomerKey-Pilot-Primary" `
    -KeyFilePath "./primary-key.byok" `
    -Destination HSM

# Import secondary key to second vault
$secondaryKey = Add-AzKeyVaultKey -VaultName $keyVaultName2 `
    -Name "CustomerKey-Pilot-Secondary" `
    -KeyFilePath "./secondary-key.byok" `
    -Destination HSM

# Display key URIs (needed for DEP creation)
Write-Host "Primary Key URI: $($primaryKey.Id)"
Write-Host "Secondary Key URI: $($secondaryKey.Id)"

Étape 4 : Accorder à Microsoft 365 l'accès aux Key Vaults

# Get Microsoft 365 service principal IDs
$exchangeServicePrincipal = "00000002-0000-0ff1-ce00-000000000000"
$sharepointServicePrincipal = "00000003-0000-0ff1-ce00-000000000000"

# Set access policy for Exchange Online on first vault
Set-AzKeyVaultAccessPolicy -VaultName $keyVaultName1 `
    -ServicePrincipalName $exchangeServicePrincipal `
    -PermissionsToKeys wrapKey,unwrapKey,get

# Set access policy for SharePoint Online on first vault
Set-AzKeyVaultAccessPolicy -VaultName $keyVaultName1 `
    -ServicePrincipalName $sharepointServicePrincipal `
    -PermissionsToKeys wrapKey,unwrapKey,get

# Repeat for second vault
Set-AzKeyVaultAccessPolicy -VaultName $keyVaultName2 `
    -ServicePrincipalName $exchangeServicePrincipal `
    -PermissionsToKeys wrapKey,unwrapKey,get

Set-AzKeyVaultAccessPolicy -VaultName $keyVaultName2 `
    -ServicePrincipalName $sharepointServicePrincipal `
    -PermissionsToKeys wrapKey,unwrapKey,get

Étape 5 : Se connecter à Exchange Online PowerShell

# Install Exchange Online PowerShell module
Install-Module -Name ExchangeOnlineManagement -Force

# Connect to Exchange Online
Connect-ExchangeOnline -UserPrincipalName [email protected]

# Verify connection
Get-OrganizationConfig | Select-Object Name

Étape 6 : Créer une politique de chiffrement des données (DEP)

# Create DEP for Exchange Online mailboxes
New-M365DataAtRestEncryptionPolicy `
    -Name "DEP-Pilot-Mailboxes" `
    -Description "Pilot Customer Key DEP for Exchange Online" `
    -AzureKeyIDs @($primaryKey.Id, $secondaryKey.Id) `
    -Enabled $true

# Verify DEP creation
Get-M365DataAtRestEncryptionPolicy -Identity "DEP-Pilot-Mailboxes"

Étape 7 : Affecter la DEP aux boîtes aux lettres pilotes

# Assign DEP to a single mailbox
Set-Mailbox -Identity [email protected] `
    -DataEncryptionPolicy "DEP-Pilot-Mailboxes"

# Assign DEP to multiple mailboxes
$pilotUsers = @(
    "[email protected]",
    "[email protected]",
    "[email protected]"
)

foreach ($user in $pilotUsers) {
    Set-Mailbox -Identity $user -DataEncryptionPolicy "DEP-Pilot-Mailboxes"
    Write-Host "Assigned DEP to $user"
}

Étape 8 : Surveiller la progression du chiffrement

# Check encryption status
Get-M365DataAtRestEncryptionPolicyAssignment `
    -Identity "DEP-Pilot-Mailboxes" |
    Format-Table -AutoSize

# Check individual mailbox encryption status
Get-MailboxStatistics -Identity [email protected] |
    Select-Object DisplayName, IsEncrypted, EncryptionStatus

Liste de contrôle des bonnes pratiques

Avant la mise en production

Complétez ces listes de contrôle avant d'activer Customer Key en production.

Prérequis

• Clés sauvegardées dans un emplacement hors ligne sécurisé
• Accès aux Key Vaults limité au personnel requis uniquement
• MFA activée pour tous les comptes d'administration
• Procédures d'accès d'urgence documentées
• Calendrier de rotation des clés établi

Estimation du calendrier et de l'effort

Taille de l'organisation	Planification	Configuration	Test	Déploiement	Total
Petite (moins de 500 utilisateurs)	1 semaine	1 semaine	1 semaine	1 semaine	4 semaines
Moyenne (500 à 5 000 utilisateurs)	2 semaines	2 semaines	2 semaines	4 à 6 semaines	10 à 12 semaines
Grande (plus de 5 000 utilisateurs)	4 semaines	2 semaines	4 semaines	12 à 16 semaines	22 à 26 semaines

Étapes suivantes

Voir aussi

• Opérations quotidiennes
• Bonnes pratiques de sécurité
• Procédures de dépannage
• ↗Documentation Microsoft Customer Key
• ↗Bonnes pratiques Azure Key Vault
• ↗Guide de la technologie DuoKey MPC

Support et ressources

Besoin d'aide pour votre déploiement ?

• Support technique : [email protected]
• Demandes commerciales : [email protected]
• Documentation : Support DuoKey
• Support Microsoft : Centre d'administration Microsoft 365