メインコンテンツまでスキップ

key-management

キー管理

DuoKey Office 365 Customer Key の日々のキー管理操作。キーライフサイクル管理、ローテーション、バックアップ、リカバリの手順を含みます。

適用対象:
Office 365 Customer KeyAzure Key VaultDuoKey MPC

キーライフサイクルの概要​

Office 365 の Customer Key は特定のライフサイクルに従います。

1

生成

キーは MPC 技術を使用して DuoKey で作成されます。

2

インポート

キーは Azure Key Vault にインポートされます。

3

アクティブな使用

キーは Office 365 のワークロードでデータを暗号化します。

4

ローテーション

キーはセキュリティのために定期的にローテーションされます。

5

廃止

古いキーはアーカイブされますが、復号のために保持されます。

6

削除

キーは保持期間後に完全に削除されます。

データ暗号化ポリシー（DEP）の管理​

すべての DEP の表示​

# Connect to Exchange Online
Connect-ExchangeOnline

# List all DEPs
Get-M365DataAtRestEncryptionPolicy |
    Select-Object Name, Description, State, AssignedCount |
    Format-Table -AutoSize

DEP の詳細の表示​

# Get detailed information about a specific DEP
Get-M365DataAtRestEncryptionPolicy -Identity "DEP-Prod-Mailboxes" |
    Format-List *

# View key URIs associated with DEP
Get-M365DataAtRestEncryptionPolicy -Identity "DEP-Prod-Mailboxes" |
    Select-Object -ExpandProperty AzureKeyIDs

キーローテーション​

キーをローテーションするタイミング​

キーローテーションのトリガー

次の場合に Customer Key をローテーションします。

  • 組織のキーローテーションポリシーに従う場合（通常は毎年）
  • セキュリティインシデントまたは侵害の疑いの後
  • キーにアクセスできる人員が組織を離れる場合
  • コンプライアンス要件の一環として
  • 主要なシステムアップグレードの後

キーローテーションプロセス​

1

新しいキーの生成

DuoKey MPC を使用して新しいプライマリキーとセカンダリキーを生成し、BYOK インポート用にエクスポートします。

2

Azure Key Vault への新しいキーのインポート

Add-AzKeyVaultKey を使用して新しいキーを Azure Key Vault にインポートします。

3

新しいキーでの DEP の更新

Set-M365DataAtRestEncryptionPolicy を使用して、新しいキー URI で DEP を更新します。

4

再暗号化の監視

Get-M365DataAtRestEncryptionPolicyAssignment を使用して再暗号化の進行状況を監視します。

5

古いキーのアーカイブ

ローテーションが成功した後、Key Vault で古いキーを無効化します（すぐには削除しないでください）。

古いキーを削除しないでください

古いキーは削除するのではなく、常にアーカイブしてください。古いキーは、以前に暗号化されたデータを復号するために引き続き必要になる場合があります。

ローテーションのタイムライン​

フェーズ期間活動
計画1 週間新しいキーの生成、インポートのテスト
実装1～2 日新しいキーで DEP を更新
再暗号化3～7 日Office 365 がデータを再暗号化
検証1 週間暗号化の監視と検証
クリーンアップ継続的保持期間後に古いキーをアーカイブ

キーのバックアップとリカバリ​

バックアップのベストプラクティス​

頻度

作成後とローテーション後にすぐにキーをバックアップします。

ストレージ

バックアップを強力な暗号化で安全なオフラインの場所に保存します。

冗長性

複数の地理的場所でバックアップを維持します。

テスト

バックアップの復元手順を定期的にテストします。

保持

コンプライアンス要件に従ってバックアップを保持します（通常は 7 年間）。

アクセス制御

バックアップへのアクセスを認可された担当者のみに制限します。

キーの取り消し​

緊急キー取り消し​

緊急キー取り消し

キーの取り消しは緊急手順です。これにより、Microsoft 365 が暗号化されたデータにアクセスできなくなり、影響を受けるユーザーに完全なサービス中断が発生します。

キー取り消しの影響​

影響説明
即時Microsoft 365 が暗号化されたデータにアクセスできない
ユーザーへの影響ユーザーがメールボックス、ファイル、または Teams データにアクセスできない
期間キーが復元されるか新しい DEP が割り当てられるまで継続する
リカバリアクセスを回復するにはキーを復元するか新しい DEP を作成する

メールボックス割り当ての管理​

DEP の削除

DEP の割り当てを削除しても、既存のデータは復号されません。以前に暗号化されたデータは元の DEP で暗号化されたままです。新しいデータのみがデフォルトの Microsoft 暗号化を使用します。

メンテナンススケジュール​

頻度タスク
毎日DEP の正常性ステータスの監視、暗号化失敗のチェック、キーアクセスログの確認
毎週キー操作メトリクスの確認、バックアップの整合性の検証、メールボックス暗号化の進行状況のチェック、監査ログの確認
毎月コンプライアンスレポートの生成、アクセスポリシーの確認と更新、キーリカバリ手順のテスト、ドキュメントの更新
四半期ごとキーローテーションの実施（必要な場合）、包括的なセキュリティレビュー、ディザスタリカバリのテスト、スタッフの再トレーニング
毎年主要なキーローテーション、完全なコンプライアンス監査、手順の確認と更新、事業継続計画の更新

サポートとリソース​

キー管理操作に関するサポートについては：

関連項目