メインコンテンツまでスキップ

overview

Office 365 Customer Key 向け DuoKey

Microsoft の暗号化フレームワークとシームレスに統合し、暗号化キーを制御し、規制上の義務を果たし、不正アクセスからデータを保護します。

encrypted dataMicrosoft 365service encryption (Customer Key)wrap / unwrapkey controlDuoKey Cockpityour key (BYOK)vault APIVault / HSMkey never exportedRevoke the key → instant lockout
Microsoft 365 keeps the data; DuoKey keeps the key. You stay in control — revoke the key and the data goes dark, everywhere.
適用対象:
Office 365 E5Exchange OnlineSharePoint OnlineOneDrive for BusinessMicrosoft Teams

Office 365 Customer Key Architecture

高度なキー管理による Office 365 のデータセキュリティの強化​

Microsoft Office 365 Customer Key を使用すると、Office 365 の保存データの暗号化に使用されるルート暗号化キーを提供、制御、管理できます。Office 365 Customer Key 向け DuoKey では、マルチパーティ計算（MPC）技術を使用した高度なキー管理機能を利用でき、単一障害点をなくし、セキュリティ体制を強化します。

なぜ Office 365 Customer Key に DuoKey を選ぶのか？​

制御とコンプライアンスの強化

クラウドサービスプロバイダーとのキー管理の取り決めを必要とするコンプライアンス要件を満たすために、ルート暗号化キーを管理します。

堅牢な暗号化

BitLocker やサービス暗号化などの Office 365 ネイティブの暗号化メカニズムと連携して、追加のセキュリティ層を提供します。

キー管理の柔軟性

オンプレミスとクラウドの両方で暗号化キーを管理し、すべての保存データにわたる包括的なカバレッジを提供します。

主な機能​

包括的な暗号化カバレッジ​

サポートされるワークロード

DuoKey は、さまざまな Office 365 アプリケーションにわたって暗号化機能を拡張します。

  • Exchange Online（メールボックスデータ）
  • SharePoint Online（サイトとドキュメント）
  • OneDrive for Business（個人ファイル）
  • Microsoft Teams（チャット、ファイル、録画）

Office 365 とのシームレスな統合​

ネイティブのユーザーエクスペリエンスを変えることなく Office 365 と統合し、セキュリティを強化しながらパフォーマンスと機能を維持します。

高度なキー管理機能​

マルチパーティ計算（MPC）：従来のキー管理サービスとは異なり、DuoKey は MPC を利用して、暗号化キーの一部を複数の場所に分散させることでセキュリティを強化し、単一障害点をなくします。

単一アクセスなし

いかなる単一の当事者も暗号化キーへの完全なアクセスを持ちません。

内部脅威からの保護

内部脅威に対する保護の強化。

安全な操作

キーを公開することなく暗号操作を実行します。

コンプライアンス対応

厳格なコンプライアンス要件を満たします。

競争上の優位性​

従来の HSM ソリューションを超えて​

DuoKey は、組織が暗号化キーを完全に制御できるようにすることで、従来の HSM よりも堅牢なデータ保護機能を提供します。

マルチパーティ計算

単一障害点のない分散キー操作。

強化された監査

監査と監視機能の強化。

柔軟なデプロイ

クラウドまたはオンプレミスのデプロイオプション。

規制コンプライアンス

GDPR、HIPAA、SOC 2、および業界固有の規制。

Microsoft 暗号化技術との統合​

技術レベル説明
BitLockerディスクレベル物理的セキュリティのためのディスクレベル暗号化
SSE（サービス暗号化）サービスレベルデータセンター内のサービスレベル暗号化
Customer Keyアプリケーションレベル顧客が制御するキーによるアプリケーションレベル暗号化
多層防御

DuoKey はキー管理制御の追加層を加え、1 つの層が侵害されてもデータが保護されたままになるようにします。

BYOK インポートの技術プロセス​

Bring Your Own Key（BYOK）プロセスは、顧客が Microsoft Office 365 内で暗号化キーをインポートして制御するための包括的な方法であり、データセキュリティとコンプライアンスを強化します。

Office 365 Customer Key の BYOK プロセス​

1

オフラインでのキー生成

プロセスは、オフラインマシンでの対象 Customer Key の生成から始まります。このキーは、RSA（Rivest-Shamir-Adleman）、EC（楕円曲線）、または AES（Advanced Encryption Standard）のいずれかです。キーは、転送中の追加のセキュリティのために MRZ15 アルゴリズムを使用して暗号化されます。

2

オンラインでのキー交換キー（KEK）の生成

2 つの RSA KEK が、DuoKey の自動化と Azure Graph API を通じてオンラインで作成されます。これらの KEK は、Azure プレミアム HSM バックアップのキー管理サービスである 2 つの Azure Key Vault に安全に保存されます。

3

KEK 公開キーの取得

前のステップで生成された KEK の公開キーが取得され、これは次のステップで暗号化プロセスを保護するために使用されます。

4

一時 AES キーの作成

一時的な AES 256 ビットキーがオンラインで生成され、これは転送中の Customer Key を暗号化して機密性と整合性を確保するために使用されます。

5

一時 AES キーの暗号化

一時 AES キーは、堅牢な暗号化のために RSA_PKCS_OAEP アルゴリズムを使用し、ステップ 3 の RSA KEK で安全にラップされます。

6

Customer Key のラップ

Customer Key は、CKM_AES_KEY_WRAP_PAD アルゴリズムを使用して、ステップ 4 で生成された AES キーでラップされます。このステップにより、Azure Key Vault にアップロードされる前に Customer Key が保護されます。

7

暗号化セッションキーと暗号化メッセージの結合

ステップ 5 とステップ 6 の暗号化された出力を結合して、暗号化されたキーと暗号化されたデータの両方を含む安全なメッセージパッケージを形成し、安全な送信または保存の準備が整います。

8

インポート用の BYOK ファイルの生成

JSON 形式の BYOK ファイルが作成されます。これには、前のステップからのすべての必要なパラメータと暗号化されたキーが含まれます。このファイルは Azure Key Vault にインポートする準備が整っており、Microsoft Office 365 環境内で Customer Key を安全に使用できるようにします。

セキュリティとコンプライアンスに関する考慮事項​

データ主権と制御

顧客がキーを完全に制御し続けることで、現地のデータ主権法と規制へのコンプライアンスを確保します。

セキュリティの強化

顧客はルートキーを Microsoft の外部で生成・保管し、Azure Key Vault での使用を承認し、その承認を取り消すことができます。

監査とコンプライアンス

詳細な監査機能をサポートし、組織がコンプライアンスのためにキーの使用状況とアクセスを監視できるようにします。

Office 365 Customer Key の仕組み​

暗号化アーキテクチャ​

Office 365 は階層化された暗号化アプローチを使用します。

1

サービス暗号化層

Microsoft はサービス暗号化キー（Microsoft 管理のキー）を使用して保存データを暗号化します。

2

Customer Key 層

お客様の Customer Key がサービス暗号化キーを暗号化します（DuoKey からのお客様の Customer Key）。

3

BitLocker 層

物理的セキュリティのための追加のディスクレベル暗号化。

データ暗号化プロセス​

User Data (Plaintext)
    |
[Layer 1: Service Encryption]
    | (Microsoft-managed key)
Service-Encrypted Data
    |
[Layer 2: Customer Key Encryption]
    | (Your Customer Key from DuoKey)
Customer Key-Encrypted Data
    |
[Layer 3: BitLocker Encryption]
    | (Disk-level encryption)
Fully Encrypted Data at Rest

キー階層​

Customer Key (Your control via DuoKey)
    |
Data Encryption Policy (DEP)
    |
Intermediate Keys
    |
Per-mailbox/per-file Keys
    |
Encrypted User Data

ユースケース​

シナリオ：データアクセスとキー管理の制御を必要とする金融規制に準拠する必要がある。

ソリューション：DuoKey により、金融組織は独自のキーを管理し、セキュリティを強化し、GDPR、SOX、PCI DSS、Basel III へのコンプライアンスを確保できます。

メリット：

  • 監査担当者に暗号化キーの制御を実証する
  • データ所在地要件を満たす
  • 即時のキー取り消し機能
  • キー操作の完全な監査証跡

サポートされる Office 365 ワークロード​

Exchange Online

メールボックスデータの暗号化、アーカイブメールボックスの暗号化、Exchange Search でインデックス化されたデータの暗号化。

SharePoint Online と OneDrive

ドキュメントライブラリ、リストとリストアイテム、サイトコンテンツ、検索インデックス、OneDrive の個人ファイル。

Microsoft Teams

チャットメッセージと会話、Teams チャネルで共有されるファイル、会議の録画、Teams サイトコンテンツ。

Skype for Business

会話履歴、共有ファイル、会議コンテンツ。

マルチパーティ計算（MPC）技術​

DuoKey は MPC 技術を活用して、Office 365 Customer Key のセキュリティを強化します。

MPC の仕組み​

1

キーの分割

お客様の Customer Key は数学的に複数のシェアに分割されます。

2

分散ストレージ

シェアは分離された別々の場所に保存されます。

3

しきい値操作

操作には最小限の数のシェア（しきい値）が必要です。

4

単一アクセスポイントなし

いかなる単一の当事者も完全なキーにアクセスまたは再構築できません。

MPC のメリット​

単一障害点なし

1 つの場所が侵害されても、キーは安全なままです。

強化されたアクセス制御

キー操作には複数の当事者が協力する必要があります。

暗号操作

完全なキーを一切公開することなく実行されます。

コンプライアンス上の利点

監査担当者に強化されたセキュリティ制御を実証します。

キーの取り消しとデータリカバリ​

即時キー取り消し​

キー取り消しの影響

キーを取り消すと、Microsoft がデータを復号できなくなります。キーが復元されるまで、ユーザーはメールボックス、ファイル、Teams データへのアクセスを失います。

1

キーのプロビジョン解除

Azure Key Vault から Customer Key を削除します。

2

即時の効果

Microsoft は数時間以内にデータを復号するアクセスを失います。

3

データ保護

データは暗号化されたままアクセス不能になります。

可用性キー​

可用性キー

Microsoft はバックアップメカニズムとして可用性キーを維持します。これは特定のシナリオ（例：キーの利用不可）でのみ使用され、Microsoft にお客様のデータへの日常的なアクセスを提供するものではなく、厳格なアクセス制御と監査の対象となります。

キーのリカバリ​

1

Customer Key の復元

Customer Key を Azure Key Vault に復元します。

2

DEP の更新

データ暗号化ポリシー（DEP）を更新します。

3

サービスのリカバリ

サービスがデータを復号するアクセスを自動的に回復します。

前提条件​

前提条件

  • Office 365 Enterprise E5 ライセンス（または E5 コンプライアンスアドオン）
  • Exchange Online Plan 2
  • SharePoint Online Plan 2
  • OneDrive for Business Plan 2
  • 構成のためのグローバル管理者ロール
  • Azure サブスクリプション
  • 2 つのリージョンでの Azure Key Vault Premium（HSM バックアップ）
  • 適切な Azure Active Directory 権限
  • Key Vault デプロイ用のリソースグループ
  • DuoKey プラットフォームへのアクセス
  • Office 365 Customer Key 用に構成された DuoKey Cockpit
  • 有効な DuoKey ライセンス
  • Office 365 と Azure Key Vault 間の HTTPS 接続
  • Office 365 サービスからのアウトバウンド接続
  • 適切なファイアウォールとプロキシの構成

パフォーマンスに関する考慮事項​

ユーザーエクスペリエンスへの影響​

ユーザーへの最小限の影響

Customer Key の操作は、エンドユーザーへの影響を最小限に抑えるように設計されています。暗号化と復号は、目立ったパフォーマンス低下なしに透過的に行われます。キー管理はバックグラウンド操作として行われます。

初回暗号化のタイムライン​

ワークロードタイムライン備考
メールボックスDEP あたり 24～48 時間メールボックスのサイズに依存
SharePoint/OneDrive数日から数週間データ量に依存
TeamsSharePoint のタイムラインに準ずるデータは SharePoint に保存される

継続的な操作​

  • 新しいコンテンツのリアルタイム暗号化
  • 自動キーローテーションのサポート
  • 未暗号化コンテンツの継続的なバックグラウンド暗号化

監視と監査​

DuoKey 監査ログ

キーアクセスの試行、成功／失敗した操作、管理上の変更、コンプライアンスレポート。

Office 365 監査ログ

DEP の割り当て、キーの使用状況、管理操作、セキュリティインシデント。

統合ポイント

Azure Monitor、Office 365 セキュリティ／コンプライアンスセンター、DuoKey Cockpit、SIEM 統合。

クォータと制限​

Office 365 Customer Key の制限​

リソース制限
テナントあたりの最大 DEP 数50
DEP 割り当てのスコープDEP あたり複数のメールボックス／サイト
最小キーサイズ2048 ビット RSA キー
キー更新操作Azure Key Vault のスロットリングの対象

Azure Key Vault の制限​

リソース制限
Vault あたりのキー数25,000
10 秒あたりの操作数キーの種類と操作によって異なる
リージョン固有のクォータAzure リージョンごとに適用

ベストプラクティス​

キー管理

オフラインバックアップを維持し、定期的なキーローテーションを計画し、最小権限アクセスを実装し、異なる Azure リージョンにキーを保存します。

セキュリティ

管理者アクセスに MFA を要求し、別々の Azure テナントを使用し、包括的なロギングを有効にし、インシデント対応手順を策定します。

運用の卓越性

非本番環境で DEP の割り当てをテストし、詳細なランブックを維持し、構造化された変更プロセスに従い、IT スタッフをトレーニングします。

他のソリューションとの比較​

Customer Key とデフォルト暗号化​

機能デフォルトのサービス暗号化Customer Key
キーの制御Microsoft が管理顧客が管理
キーの場所Microsoft データセンターAzure Key Vault（顧客の）
コンプライアンス標準的なコンプライアンス強化されたコンプライアンス（データ主権）
キーの取り消し不可能即時取り消し機能
監査の制御Microsoft 監査ログ顧客の監査ログ + Microsoft のログ
コスト含まれる追加のライセンスが必要

Customer Key と Customer Lockbox​

機能Customer KeyCustomer Lockbox
目的暗号化キーの制御アクセス要求の承認
スコープ保存データの暗号化Microsoft サポートアクセス
実装技術的なセットアップが必要管理上の承認ワークフロー
コンプライアンスへの影響強化されたデータ保護強化されたアクセスガバナンス

はじめに​

1

はじめに

前提条件と初期セットアップを確認します。

2

運用ガイド

日々のキー管理について学びます。

3

ベストプラクティス

セキュリティと運用の卓越性のガイドラインに従います。

トラブルシューティング​

詳細なトラブルシューティングのガイダンスについては、トラブルシューティングガイドを参照してください。

サポート​

Office 365 Customer Key 向け DuoKey に関するテクニカルサポートまたは質問については：

関連項目