メインコンテンツまでスキップ

getting-started

はじめに

Office 365 Customer Key 向け DuoKey の初期セットアップと構成を順を追って説明し、Microsoft 365 に保存されたデータの暗号化キーを制御できるようにします。

適用対象:
Office 365 E5Azure Key Vault PremiumDuoKey Platform

概要​

Office 365 Customer Key 向け DuoKey の実装には、いくつかの主要なステップが含まれます。

1

前提条件の確認

必要なライセンスと権限があることを確認します。

2

Azure Key Vault のセットアップ

キーを保存するための Azure Key Vault を作成して構成します。

3

Customer Key の生成

MPC 技術を使用して DuoKey で暗号化キーを作成します。

4

Microsoft 365 へのキーの登録

キーを Azure Key Vault にインポートします。

5

データ暗号化ポリシー（DEP）の作成

ワークロード用に DEP を構成します。

6

DEP の割り当て

暗号化ポリシーをメールボックス、サイト、チームに適用します。

7

監視と保守

監視を設定し、運用手順を確立します。

前提条件チェックリスト​

実装を進める前に、すべての前提条件が整っていることを確認してください。

前提条件

  • Office 365 Enterprise E5 ライセンス（または E5 コンプライアンスアドオン）
  • Exchange Online Plan 2
  • SharePoint Online Plan 2
  • OneDrive for Business Plan 2
  • サブスクリプションに含まれる Microsoft Teams
  • Microsoft 365 のグローバル管理者ロール
  • コンプライアンス管理者ロール（推奨）
  • 多要素認証（MFA）が有効

前提条件

  • Azure サブスクリプション（Microsoft 365 サブスクリプションとは別でも可）
  • 2 つの異なるリージョンで Azure Key Vault を作成できること
  • Azure Key Vault Premium ティア（HSM バックアップ）が利用可能
  • リソースグループを作成する権限
  • サービスプリンシパルを作成する権限
  • Azure Active Directory 管理者アクセス
  • Azure ロールベースアクセス制御（RBAC）の理解

デプロイ計画​

デプロイ戦略の選択​

パイロットデプロイ

10～50 人のテストユーザーから開始します。暗号化とパフォーマンスを検証します。初めて利用する場合に推奨。期間：2～4 週間。

段階的な本番展開

フェーズ 1：VIP メールボックス。フェーズ 2：部門。フェーズ 3：一般ユーザー。期間：2～6 か月。

完全な本番展開

すべてのユーザーに同時にデプロイします。1,000 人未満の組織に最適。専任の監視が必要。期間：4～8 週間。

ワークロードの選択​

ワークロード複雑さ影響推奨順序
Exchange Online（メールボックス）中高1 番目
SharePoint Online高高2 番目
OneDrive for Business高中3 番目
Microsoft Teams高中4 番目

クイックスタート：パイロット環境​

概念実証（PoC）のパイロットデプロイについては、以下の手順に従ってください。

ステップ 1：Azure Key Vault の作成​

冗長性のために、異なる Azure リージョンに 2 つの Azure Key Vault が必要です。

# Install Azure PowerShell module if not already installed
Install-Module -Name Az -AllowClobber -Force

# Connect to Azure
Connect-AzAccount

# Set variables
$subscriptionId = "your-subscription-id"
$resourceGroupName = "rg-customer-key-pilot"
$location1 = "eastus"
$location2 = "westus"
$keyVaultName1 = "kv-customerkey-eus-01"
$keyVaultName2 = "kv-customerkey-wus-01"

# Set subscription context
Set-AzContext -SubscriptionId $subscriptionId

# Create resource group
New-AzResourceGroup -Name $resourceGroupName -Location $location1

# Create first Key Vault (Premium tier with HSM)
New-AzKeyVault -Name $keyVaultName1 `
    -ResourceGroupName $resourceGroupName `
    -Location $location1 `
    -Sku Premium `
    -EnabledForDeployment `
    -EnabledForTemplateDeployment `
    -EnablePurgeProtection `
    -EnableSoftDelete

# Create second Key Vault
New-AzKeyVault -Name $keyVaultName2 `
    -ResourceGroupName $resourceGroupName `
    -Location $location2 `
    -Sku Premium `
    -EnabledForDeployment `
    -EnabledForTemplateDeployment `
    -EnablePurgeProtection `
    -EnableSoftDelete

ステップ 2：DuoKey での Customer Key の生成​

DuoKey を使用して MPC 技術で暗号化キーを生成します。

# Login to DuoKey Cockpit
duokey login --username your-username

# Generate a new Customer Key using MPC
duokey key generate \
    --name "CustomerKey-Pilot-Primary" \
    --algorithm RSA \
    --size 2048 \
    --type customer-key \
    --mpc-threshold 2 \
    --mpc-shares 3

# Generate a second key for redundancy
duokey key generate \
    --name "CustomerKey-Pilot-Secondary" \
    --algorithm RSA \
    --size 2048 \
    --type customer-key \
    --mpc-threshold 2 \
    --mpc-shares 3

# Export keys for BYOK import
duokey key export \
    --name "CustomerKey-Pilot-Primary" \
    --format byok \
    --output primary-key.byok

duokey key export \
    --name "CustomerKey-Pilot-Secondary" \
    --format byok \
    --output secondary-key.byok

ステップ 3：Azure Key Vault へのキーのインポート​

# Import primary key to first vault
$primaryKey = Add-AzKeyVaultKey -VaultName $keyVaultName1 `
    -Name "CustomerKey-Pilot-Primary" `
    -KeyFilePath "./primary-key.byok" `
    -Destination HSM

# Import secondary key to second vault
$secondaryKey = Add-AzKeyVaultKey -VaultName $keyVaultName2 `
    -Name "CustomerKey-Pilot-Secondary" `
    -KeyFilePath "./secondary-key.byok" `
    -Destination HSM

# Display key URIs (needed for DEP creation)
Write-Host "Primary Key URI: $($primaryKey.Id)"
Write-Host "Secondary Key URI: $($secondaryKey.Id)"

ステップ 4：Microsoft 365 に Key Vault へのアクセスを許可する​

# Get Microsoft 365 service principal IDs
$exchangeServicePrincipal = "00000002-0000-0ff1-ce00-000000000000"
$sharepointServicePrincipal = "00000003-0000-0ff1-ce00-000000000000"

# Set access policy for Exchange Online on first vault
Set-AzKeyVaultAccessPolicy -VaultName $keyVaultName1 `
    -ServicePrincipalName $exchangeServicePrincipal `
    -PermissionsToKeys wrapKey,unwrapKey,get

# Set access policy for SharePoint Online on first vault
Set-AzKeyVaultAccessPolicy -VaultName $keyVaultName1 `
    -ServicePrincipalName $sharepointServicePrincipal `
    -PermissionsToKeys wrapKey,unwrapKey,get

# Repeat for second vault
Set-AzKeyVaultAccessPolicy -VaultName $keyVaultName2 `
    -ServicePrincipalName $exchangeServicePrincipal `
    -PermissionsToKeys wrapKey,unwrapKey,get

Set-AzKeyVaultAccessPolicy -VaultName $keyVaultName2 `
    -ServicePrincipalName $sharepointServicePrincipal `
    -PermissionsToKeys wrapKey,unwrapKey,get

ステップ 5：Exchange Online PowerShell への接続​

# Install Exchange Online PowerShell module
Install-Module -Name ExchangeOnlineManagement -Force

# Connect to Exchange Online
Connect-ExchangeOnline -UserPrincipalName [email protected]

# Verify connection
Get-OrganizationConfig | Select-Object Name

ステップ 6：データ暗号化ポリシー（DEP）の作成​

# Create DEP for Exchange Online mailboxes
New-M365DataAtRestEncryptionPolicy `
    -Name "DEP-Pilot-Mailboxes" `
    -Description "Pilot Customer Key DEP for Exchange Online" `
    -AzureKeyIDs @($primaryKey.Id, $secondaryKey.Id) `
    -Enabled $true

# Verify DEP creation
Get-M365DataAtRestEncryptionPolicy -Identity "DEP-Pilot-Mailboxes"

ステップ 7：パイロットメールボックスへの DEP の割り当て​

# Assign DEP to a single mailbox
Set-Mailbox -Identity [email protected] `
    -DataEncryptionPolicy "DEP-Pilot-Mailboxes"

# Assign DEP to multiple mailboxes
$pilotUsers = @(
    "[email protected]",
    "[email protected]",
    "[email protected]"
)

foreach ($user in $pilotUsers) {
    Set-Mailbox -Identity $user -DataEncryptionPolicy "DEP-Pilot-Mailboxes"
    Write-Host "Assigned DEP to $user"
}

ステップ 8：暗号化の進行状況の監視​

# Check encryption status
Get-M365DataAtRestEncryptionPolicyAssignment `
    -Identity "DEP-Pilot-Mailboxes" |
    Format-Table -AutoSize

# Check individual mailbox encryption status
Get-MailboxStatistics -Identity [email protected] |
    Select-Object DisplayName, IsEncrypted, EncryptionStatus

ベストプラクティスチェックリスト​

本番稼働の前に

本番環境で Customer Key を有効にする前に、これらのチェックリストを完了してください。

前提条件

  • キーが安全なオフラインの場所にバックアップされている
  • Key Vault へのアクセスが必要な担当者のみに制限されている
  • すべての管理者アカウントで MFA が有効
  • 緊急アクセス手順が文書化されている
  • キーローテーションのスケジュールが確立されている

タイムラインと工数の見積もり​

組織の規模計画セットアップテスト展開合計
小規模（500 ユーザー未満）1 週間1 週間1 週間1 週間4 週間
中規模（500～5,000 ユーザー）2 週間2 週間2 週間4～6 週間10～12 週間
大規模（5,000 ユーザー以上）4 週間2 週間4 週間12～16 週間22～26 週間

次のステップ​

関連項目

サポートとリソース​

デプロイに関するサポートが必要ですか？