key-management
Gestion des clés
Opérations quotidiennes de gestion des clés pour DuoKey Office 365 Customer Key, incluant la gestion du cycle de vie des clés, la rotation, la sauvegarde et les procédures de récupération.
Vue d'ensemble du cycle de vie des clés
Les Customer Keys dans Office 365 suivent un cycle de vie spécifique :
Génération
Les clés sont créées à l'aide de DuoKey avec la technologie MPC.
Importation
Les clés sont importées dans Azure Key Vault.
Utilisation active
Les clés chiffrent les données dans les charges de travail Office 365.
Rotation
Les clés font l'objet d'une rotation périodique pour la sécurité.
Retrait
Les anciennes clés sont archivées mais conservées pour le déchiffrement.
Suppression
Les clés sont définitivement supprimées après la période de conservation.
Gestion des politiques de chiffrement des données (DEP)
Afficher toutes les DEP
# Connect to Exchange Online
Connect-ExchangeOnline
# List all DEPs
Get-M365DataAtRestEncryptionPolicy |
Select-Object Name, Description, State, AssignedCount |
Format-Table -AutoSize
Afficher les détails d'une DEP
# Get detailed information about a specific DEP
Get-M365DataAtRestEncryptionPolicy -Identity "DEP-Prod-Mailboxes" |
Format-List *
# View key URIs associated with DEP
Get-M365DataAtRestEncryptionPolicy -Identity "DEP-Prod-Mailboxes" |
Select-Object -ExpandProperty AzureKeyIDs
Rotation des clés
Quand effectuer la rotation des clés
Effectuez la rotation de vos Customer Keys lorsque :
- Vous suivez la politique de rotation des clés de votre organisation (généralement annuelle)
- Après un incident de sécurité ou une suspicion de compromission
- Lorsque du personnel ayant accès aux clés quitte l'organisation
- Dans le cadre d'exigences de conformité
- Après des mises à niveau majeures du système
Processus de rotation des clés
Générer de nouvelles clés
Générez de nouvelles clés primaire et secondaire à l'aide de DuoKey MPC et exportez-les pour l'import BYOK.
Importer les nouvelles clés dans Azure Key Vault
Importez les nouvelles clés dans vos Azure Key Vaults à l'aide de Add-AzKeyVaultKey.
Mettre à jour la DEP avec les nouvelles clés
Utilisez Set-M365DataAtRestEncryptionPolicy pour mettre à jour la DEP avec les nouveaux URI de clés.
Surveiller le re-chiffrement
Surveillez la progression du re-chiffrement à l'aide de Get-M365DataAtRestEncryptionPolicyAssignment.
Archiver les anciennes clés
Après une rotation réussie, désactivez les anciennes clés dans Key Vault (ne les supprimez pas immédiatement).
Archivez toujours les anciennes clés plutôt que de les supprimer. Les anciennes clés peuvent encore être nécessaires pour déchiffrer des données précédemment chiffrées.
Calendrier de rotation
| Phase | Durée | Activités |
|---|---|---|
| Planification | 1 semaine | Générer de nouvelles clés, tester l'import |
| Mise en œuvre | 1 à 2 jours | Mettre à jour les DEP avec les nouvelles clés |
| Re-chiffrement | 3 à 7 jours | Office 365 re-chiffre les données |
| Vérification | 1 semaine | Surveiller et valider le chiffrement |
| Nettoyage | En continu | Archiver les anciennes clés après la période de conservation |
Sauvegarde et récupération des clés
Bonnes pratiques de sauvegarde
Fréquence
Sauvegardez les clés immédiatement après leur création et leur rotation.
Stockage
Stockez les sauvegardes dans un emplacement sécurisé et hors ligne avec un chiffrement robuste.
Redondance
Maintenez des sauvegardes dans plusieurs emplacements géographiques.
Test
Testez régulièrement les procédures de restauration des sauvegardes.
Conservation
Conservez les sauvegardes conformément aux exigences de conformité (généralement 7 ans).
Contrôle d'accès
Limitez l'accès aux sauvegardes au personnel autorisé uniquement.
Révocation des clés
Révocation d'urgence des clés
La révocation des clés est une procédure d'urgence. Elle empêchera immédiatement Microsoft 365 d'accéder aux données chiffrées, provoquant une interruption complète du service pour les utilisateurs concernés.
Impact de la révocation des clés
| Impact | Description |
|---|---|
| Immédiat | Microsoft 365 ne peut pas accéder aux données chiffrées |
| Impact utilisateur | Les utilisateurs ne peuvent pas accéder à leurs boîtes aux lettres, fichiers ou données Teams |
| Durée | Se poursuit jusqu'à la restauration des clés ou l'affectation d'une nouvelle DEP |
| Récupération | Restaurer les clés ou créer une nouvelle DEP pour rétablir l'accès |
Gestion des affectations de boîtes aux lettres
La suppression d'une affectation de DEP ne déchiffre pas les données existantes. Les données précédemment chiffrées restent chiffrées avec la DEP d'origine. Seules les nouvelles données utiliseront le chiffrement Microsoft par défaut.
Calendrier de maintenance
| Fréquence | Tâches |
|---|---|
| Quotidienne | Surveiller l'état de santé des DEP, vérifier les échecs de chiffrement, examiner les journaux d'accès aux clés |
| Hebdomadaire | Examiner les métriques des opérations de clé, valider l'intégrité des sauvegardes, vérifier la progression du chiffrement des boîtes aux lettres, examiner les journaux d'audit |
| Mensuelle | Générer des rapports de conformité, examiner et mettre à jour les politiques d'accès, tester les procédures de récupération des clés, mettre à jour la documentation |
| Trimestrielle | Effectuer la rotation des clés (si nécessaire), revue de sécurité complète, tests de reprise après sinistre, remise à niveau de la formation du personnel |
| Annuelle | Rotation majeure des clés, audit de conformité complet, examiner et mettre à jour les procédures, mettre à jour les plans de continuité d'activité |
Support et ressources
Pour obtenir de l'aide sur les opérations de gestion des clés :
- Support technique : [email protected]
- Documentation : Support DuoKey
- Support Microsoft : Centre d'administration Microsoft 365