よくある質問
よくある質問
デモやプリセールスの議論でよく寄せられる Double Key Encryption に関する質問
ライセンスと要件
Microsoft 365 向けの Double Key Encryption は Microsoft 365 E5 に付属しています。Microsoft 365 E5 ライセンスをお持ちでない場合は、試用版にサインアップできます。
詳細については、セキュリティとコンプライアンスに関する Microsoft 365 ライセンスガイダンスを参照してください。
追加の要件
- Azure Information Protection: DKE は秘密度ラベルと連携し、Azure Information Protection を必要とします
- Microsoft Office Apps for enterprise: 各プラットフォームのバージョン要件は以下を参照してください
- Adobe Acrobat: PDF 保護には Pro、Standard、または Reader が必要です
技術的な比較
| 機能 | DKE | HYOK |
|---|---|---|
| キーの数 | 2 つのキー（お客様のキー + Microsoft Azure キー） | キーは 1 つのみ |
| キーの場所 | お客様が管理するキー + Azure キー | 常にオンプレミス |
| クラウドストレージ | 暗号化されたデータをクラウドに移動できる | コンテンツはオンプレミスに留まる |
| 柔軟性 | クラウドとオンプレミスの選択肢 | オンプレミスのみ |
主な違い: DKE はデータを 2 つのキーで暗号化します。お客様の暗号化キーはお客様の管理下に留まり、2 つ目のキーは Microsoft Azure に保存されるため、暗号化されたデータをクラウドに移動できます。HYOK はオンプレミスに留めておく必要のある 1 つのキーのみを使用します。
共有とコラボレーション
はい、次の条件を満たす限り、別のテナントのユーザーと DKE で暗号化されたドキュメントを共有できます。
- DKE サービス内のお客様のキーにアクセスするために必要な権限を持っている
- Microsoft Azure 内のお客様の DKE サービスにアクセスするために必要な権限を持っている
- DKE サービスの URL（例:
https://dke.contoso.com）にアクセスできる - DKE の URL が、お客様の Azure AD テナントに登録された DNS ドメインに基づいている
B2B シナリオの例
- Contoso が DKE ドキュメントを Fabrikam と共有する
- 両組織が
https://dke.contoso.comにアクセスできる必要がある - ドメイン
contoso.comが Contoso の Azure AD テナントに登録されている必要がある
DKE サービスに https://dke.contoso.com を使用する予定の場合、DNS ドメイン contoso.com をテナントに登録する必要があります。カスタムドメインの登録については、Microsoft のドキュメントを参照してください。
導入と環境
はい、DKE サービスは Azure クラウドまたは任意のパブリッククラウドで実行できます。DuoKey の革新的な MPC（Multi-Party Computation）キーサービスにより、すべての秘密鍵は高度に安全な MPC ノードまたは HSM に存在するため、DKE サービスがどこで実行されるかを気にする必要はありません。
セキュリティに関する注記
- DKE サービスまたは DuoKey Cockpit に機密マテリアルは保存されません
- ドキュメントごとのコンテンツキーにより、SSL インスペクションの脅威は低いと見なされます
- キーは MPC によって保護され、完全な形で存在することはないため、傍受されたキーシェアは無意味です
地域と言語のサポート
ラベル管理
キー管理
Azure キーローテーション
Azure に保存されたキーのローテーションについては、Azure Information Protection テナントキーの運用を参照してください。
DuoKey サービスキー
DuoKey で新しいキーを作成する場合:
- キーの名前と GUID を設定する
- ローテーションするには、名前と GUID を持つ古いレコードを保持する
- 同じ名前で異なる GUID を持つ新しいレコードを追加する
- 新しいキーを "Active" に設定する
- 公開鍵 API は暗号化用に新しいキーを返す
- 両方のキーが復号用に引き続き利用可能
- 新しいキーを持つ新しい DKE ラベルを作成する
- ドキュメントの移行が完了するまで古い DKE ラベルをアクティブに保つ
- 移行中は古いドキュメントと新しいドキュメントの両方が引き続きアクセス可能
- 注: ラベルの変更には人による操作が必要です（自動化スクリプトのサポートはまだありません）
メールの暗号化
ファイルサポートと一括操作
DuoKey 固有の質問
DuoKey は、Microsoft の環境外でキーを管理できるという独自の機能を持つ追加の暗号化レイヤーを加えることでセキュリティモデルを強化し、企業にデータに対するより大きな制御を提供します。