Freigeben über

Einrichten des Kundenschlüssels

Mit Kundenschlüssel können Sie die Verschlüsselungsschlüssel Ihrer organization steuern und Microsoft 365 so konfigurieren, dass diese Schlüssel zum Verschlüsseln Ihrer ruhenden Daten in den Rechenzentren von Microsoft verwendet werden. Anders ausgedrückt: Sie können eine Verschlüsselungsebene hinzufügen, die Sie besitzen und verwalten.

Vor der Verwendung des Kundenschlüssels müssen Sie die erforderlichen Azure-Ressourcen einrichten. Dieser Artikel führt Sie durch das Erstellen und Konfigurieren dieser Ressourcen, gefolgt von den Schritten zum Aktivieren des Kundenschlüssels. Nachdem Sie die Azure Ressourcen eingerichtet haben, wählen Sie aus, welche Richtlinie angewendet wird und welche Schlüssel daten in Microsoft 365-Workloads in Ihrem organization verschlüsseln.

Eine allgemeine Übersicht und weitere Informationen finden Sie unter Übersicht über Kundenschlüssel.

Wichtig

Achten Sie darauf, die bewährten Methoden in diesem Artikel zu befolgen, die als TIPP, WICHTIG und HINWEIS gekennzeichnet sind. Kundenschlüssel bietet Ihnen die Kontrolle über Stammverschlüsselungsschlüssel, die sich auf Ihre gesamte organization auswirken können. Fehler mit diesen Schlüsseln können zu Dienstunterbrechungen oder dauerhaften Datenverlusten führen.

Wichtig

Microsoft empfiehlt die Verwendung von Rollen mit den wenigsten Berechtigungen. Die Minimierung der Anzahl von Benutzern mit der Rolle "Globaler Administrator" trägt zur Verbesserung der Sicherheit für Ihre organization bei. Erfahren Sie mehr über Microsoft Purview-Rollen und -Berechtigungen.

Vor dem Einrichten des Kundenschlüssels

Bevor Sie beginnen, stellen Sie sicher, dass Ihr organization über die richtigen Azure-Abonnements sowie über Microsoft 365-, Office 365- und Windows 365-Lizenzen verfügt. Sie müssen kostenpflichtige Azure-Abonnements verwenden. Abonnements, die über Die Programme "Free", "Trial", "Sponsorship", "MSDN" oder "Legacy Support" erworben wurden, sind nicht berechtigt.

Wichtig

Microsoft 365- und Office 365-Lizenzen, die Microsoft 365 Customer Key bieten, sind:

  • Office 365 E5
  • Microsoft 365 E5
  • Microsoft Purview Suite (früher als Microsoft 365 E5 Compliance bezeichnet)
  • Microsoft 365 E5 Information Protection &-Governance-SKUs
  • Microsoft 365 Security and Compliance for FLW

Vorhandene Office 365 Advanced Compliance Lizenzen werden weiterhin unterstützt.

Um die Konzepte und Verfahren in diesem Artikel besser zu verstehen, lesen Sie die Microsoft Azure Key Vault-Dokumentation. Sie sollten auch mit wichtigen Azure Begriffen wie Microsoft Entra Mandanten vertraut sein.

Wenn Sie Hilfe über die Dokumentation hinaus benötigen, wenden Sie sich an Microsoft-Support. Wenn Sie Feedback oder Vorschläge zu Customer Key oder dieser Dokumentation teilen möchten, besuchen Sie die Microsoft 365 Community.

Übersicht über die Schritte zum Einrichten des Kundenschlüssels

Führen Sie zum Einrichten des Kundenschlüssels die folgenden Aufgaben in der richtigen Reihenfolge aus. Der Rest dieses Artikels enthält ausführliche Anweisungen für jede Aufgabe oder links zu weiteren Informationen zu den einzelnen Schritten des Prozesses.

Erfüllen Sie die folgenden Voraussetzungen mithilfe von Azure PowerShell. (v4.4.0 oder höher wird empfohlen):

Wichtig

Der Einrichtungsprozess unterscheidet sich je nachdem, ob Sie Azure Key Vault oder verwaltetes HSM verwenden. Die freigegebenen Voraussetzungen werden zuerst angezeigt, gefolgt von konfigurationsspezifischen Anweisungen.

Voraussetzungen für alle Konfigurationen

Konfigurationsspezifische Einrichtung

Letzte Schritte

Zwei neue Azure-Abonnements erstellen

Kundenschlüssel erfordert zwei Azure-Abonnements. Als bewährte Methode empfiehlt Microsoft, neue Azure-Abonnements speziell für die Verwendung mit Customer Key zu erstellen.

Azure Key Vault Schlüssel können nur für Anwendungen im selben Microsoft Entra Mandanten autorisiert werden. Um Datenverschlüsselungsrichtlinien (DEPs) zuzuweisen, stellen Sie sicher, dass Sie beide Abonnements unter demselben Microsoft Entra Mandanten erstellen, der von Ihrem organization verwendet wird. Verwenden Sie beispielsweise Ihr Geschäfts-, Schul- oder Unikonto, das über die entsprechenden Administratorrechte in Ihrem organization verfügt. Eine ausführliche Anleitung finden Sie unter Registrieren für Azure als organization.

Wichtig

Der Kundenschlüssel erfordert zwei Schlüssel für jeden DEP. Um diese Anforderung zu erfüllen, müssen Sie zwei separate Azure-Abonnements erstellen. Als bewährte Methode sollten Sie verschiedene Mitglieder Ihrer organization einen Schlüssel in jedem Abonnement verwalten. Diese Abonnements sollten nur zum Verwalten von Verschlüsselungsschlüsseln für Microsoft 365 verwendet werden. Diese Konfiguration trägt dazu bei, Ihre organization für den Fall, dass jemand versehentlich, absichtlich oder böswillig einen Von ihnen kontrollierten Schlüssel löscht oder falsch verwaltet.

Es gibt keine praktische Beschränkung, wie viele Azure Abonnements Ihre organization erstellen können. Die Anwendung dieser bewährten Methoden trägt dazu bei, das Risiko menschlicher Fehler zu verringern und die Verwaltung von Customer Key-Ressourcen zu vereinfachen.

Registrieren der erforderlichen Dienstprinzipale

Um den Kundenschlüssel verwenden zu können, müssen für Ihren Mandanten die erforderlichen Dienstprinzipale registriert sein. In den folgenden Abschnitten wird gezeigt, wie Sie überprüfen, ob die Dienstprinzipale bereits in Ihrem Mandanten registriert sind. Wenn dies nicht der Fall ist, führen Sie das Cmdlet "New-AzADServicePrincipal" aus.

Registrieren des Dienstprinzipals für die Anwendung "Customer Key Onboarding"

Führen Sie den folgenden Befehl aus, um zu überprüfen, ob die Anwendung Customer Key Onboarding bereits mit den richtigen Berechtigungen registriert ist:

Get-AzADServicePrincipal -ServicePrincipalName 19f7f505-34aa-44a4-9dcc-6a768854d2ea

Wenn sie nicht registriert ist, führen Sie Folgendes aus:

New-AzADServicePrincipal -ApplicationId 19f7f505-34aa-44a4-9dcc-6a768854d2ea
Registrieren des Dienstprinzipals für die M365DataAtRestEncryption-Anwendung

Führen Sie den folgenden Befehl aus, um zu überprüfen, ob die M365DataAtRestEncryption-Anwendung bereits mit den richtigen Berechtigungen registriert ist:

Get-AzADServicePrincipal -ServicePrincipalName c066d759-24ae-40e7-a56f-027002b5d3e4

Wenn sie nicht registriert ist, führen Sie Folgendes aus:

New-AzADServicePrincipal -ApplicationId c066d759-24ae-40e7-a56f-027002b5d3e4
Registrieren des Dienstprinzipals für die Office 365 Exchange Online-Anwendung

Führen Sie den folgenden Befehl aus, um zu überprüfen, ob die Office 365 Exchange Online Anwendung bereits mit den richtigen Berechtigungen registriert ist:

Get-AzADServicePrincipal -ServicePrincipalName 00000002-0000-0ff1-ce00-000000000000

Wenn sie nicht registriert ist, führen Sie Folgendes aus:

New-AzADServicePrincipal -ApplicationId 00000002-0000-0ff1-ce00-000000000000

Konfigurationspezifische Einrichtungsschritte

Wichtig

Die folgenden Schritte unterscheiden sich je nachdem, ob Sie Azure Key Vault oder verwaltetes HSM verwenden. Verwenden Sie die registerkarten unten, um Ihre Konfiguration auszuwählen.

Erstellen eines Premium Azure Key Vault für jedes Abonnement

Führen Sie vor dem Erstellen eines Schlüsseltresors die Schritte unter Erste Schritte mit Azure Key Vault aus. Diese Schritte führen Sie durch das Installieren und Starten von Azure PowerShell und das Herstellen einer Verbindung mit Ihrem Abonnement. Erstellen Sie als Nächstes eine Ressourcengruppe und einen Schlüsseltresor.

Wichtig

Wenn Sie Ihre Schlüsseltresore erstellen, müssen Sie sowohl vorläufiges Löschen als auch Löschschutz während der ersten Tresorerstellung aktivieren. Kundenschlüssel erfordert, dass für alle Tresore beide Features mit einem Aufbewahrungszeitraum von 90 Tagen aktiviert sind. Diese Einstellungen können nach der Aktivierung nicht mehr deaktiviert werden, daher ist es wichtig, sie von Anfang an richtig zu konfigurieren.

Wenn Sie einen Schlüsseltresor erstellen, müssen Sie eine SKU auswählen: Standard oder Premium. Die Standard-SKU verwendet softwaregeschützte Schlüssel ohne Hardwaresicherheitsmodul (HSM), während die Premium-SKU die Verwendung von HSMs zum Schützen von Schlüsseln ermöglicht. Der Kundenschlüssel unterstützt Schlüsseltresore mit einer der beiden SKUs, aber Microsoft empfiehlt dringend die Verwendung der Premium-SKU. Die Kosten der Vorgänge sind für beide gleich. Die einzige Preisdifferenz ergibt sich also aus den monatlichen Kosten für jeden HSM-geschützten Schlüssel. Preisdetails finden Sie unter Key Vault Preise.

Wichtig

Verwenden Sie die Premium-SKU-Schlüsseltresore und HSM-geschützten Schlüssel für Produktionsdaten. Verwenden Sie Standard SKU-Schlüsseltresore und -Schlüssel nur zum Testen und Überprüfen.

Aktivieren des vorläufigen Löschens und des Löschschutzes

Wenn Sie Ihre Schlüssel schnell wiederherstellen können, ist es weniger wahrscheinlich, dass erweiterte Dienstausfälle aufgrund eines versehentlichen oder böswilligen Löschens auftreten. Dieses Wiederherstellungsfeature wird als vorläufiges Löschen bezeichnet. Damit können Sie gelöschte Schlüssel oder Tresore innerhalb von 90 Tagen wiederherstellen, ohne eine Wiederherstellung aus einer Sicherung durchführen zu müssen. Kundenschlüssel erfordert, dass für alle Tresore vorläufiges Löschen aktiviert ist und eine Aufbewahrungsdauer von 90 Tagen gilt. Vorläufiges Löschen wird für neue Azure Key Vaults automatisch aktiviert. Wenn Sie vorhandene Tresore verwenden, in denen sie nicht aktiviert sind, können Sie sie manuell aktivieren.

Wenn der Bereinigungsschutz aktiviert ist, kann ein Tresor oder ein Objekt im gelöschten Zustand nicht gelöscht werden, bis der Aufbewahrungszeitraum abgelaufen ist. Vorläufig gelöschte Tresore und Objekte können weiterhin wiederhergestellt werden, um sicherzustellen, dass die Aufbewahrungsrichtlinie eingehalten wird.

Informationen zum Aktivieren des vorläufigen Löschens und des Löschschutzes für Ihre Azure Key Vault finden Sie unter Azure Key Vault Wiederherstellungsverwaltung mit vorläufigem Löschen und Bereinigungsschutz.

Erstellen Sie für jede Microsoft 365-Workload, für die Sie Kundenschlüssel verwenden, einen Schlüsseltresor in jedem der beiden Azure Abonnements, die Sie zuvor eingerichtet haben.

Key Vault-Konfiguration

Wenn Sie beispielsweise Kundenschlüssel für mehrere Workloads, Exchange- und SharePoint-Szenarien verwenden, benötigen Sie drei Schlüsseltresorepaare für insgesamt sechs. Verwenden Sie eine klare Namenskonvention, die die beabsichtigte Verwendung des DEP widerspiegelt, dem Sie die Tresore zuordnen. In der folgenden Tabelle wird gezeigt, wie sie die einzelnen Azure Key Vault jeder Workload zuordnen.

Key Vault Name Berechtigungen für mehrere Microsoft 365-Workloads (M365DataAtRestEncryption) Berechtigungen für Exchange Berechtigungen für SharePoint und OneDrive
ContosoM365AKV01 Ja Nein Nein
ContosoM365AKV02 Ja Nein Nein
ContosoEXOAKV01 Nein Ja Nein
ContosoEXOAKV02 Nein Ja Nein
ContosoSPOAKV01 Nein Nein Ja
ContosoSPOAKV02 Nein Nein Ja

Tresorkonfiguration

Zum Erstellen von Schlüsseltresoren muss auch Azure Ressourcengruppen eingerichtet werden. Schlüsseltresore erfordern eine kleine Menge an Speicher, und bei der Protokollierung (sofern aktiviert) werden auch Daten gespeichert. Als bewährte Methode empfiehlt Microsoft, verschiedene Administratoren zuzuweisen, um jede Ressourcengruppe zu verwalten. Diese Rollen sollten mit den Administratoren übereinstimmen, die für die Verwaltung der zugeordneten Kundenschlüsselressourcen verantwortlich sind.

Für Exchange wird ein DEP auf Postfachebene festgelegt. Jedem Postfach kann nur eine Richtlinie zugewiesen werden, und Sie können bis zu 50 Richtlinien erstellen. Eine SharePoint-Richtlinie deckt alle Daten am geografischen Standort (oder geografischen Standort) einer organization ab, während eine Richtlinie mit mehreren Workloads unterstützte Workloads für alle Benutzer im organization abdeckt.

Wichtig

Wenn Sie Kundenschlüssel für mehrere Workloads, Exchange und SharePoint und OneDrive verwenden, stellen Sie sicher, dass Sie zwei Azure Key Vaults für jede Workload erstellen. Dies bedeutet, dass Sie insgesamt sechs Schlüsseltresore benötigen.

Zuweisen von Berechtigungen zu jedem Azure Key Vault

Weisen Sie jedem Schlüsseltresor die erforderlichen Berechtigungen zu, indem Sie Azure rollenbasierte Zugriffssteuerung (Azure RBAC) im Azure-Portal verwenden. In diesem Abschnitt wird erläutert, wie Sie die richtigen Berechtigungen mithilfe von RBAC anwenden.

Zuweisen von Berechtigungen mithilfe der RBAC-Methode

Um (wrapKey, unwrapKey, und get) auf Ihrem Azure Key Vault zuzuweisen, weisen Sie der entsprechenden Microsoft 365-App die Rolle Key Vault Crypto Service Encryption User zu. Weitere Informationen finden Sie unter Gewähren von Berechtigungen für Anwendungen für den Zugriff auf eine Azure Key Vault mithilfe Azure RBAC.

Suchen Sie beim Zuweisen der Rolle in Ihrem Mandanten nach den folgenden App-Namen:

  • Mehrere Workloads: M365DataAtRestEncryption

  • Umtausch: Office 365 Exchange Online

  • SharePoint und OneDrive: Office 365 SharePoint Online

Wenn die gesuchte App nicht angezeigt wird, stellen Sie sicher, dass Sie die App im Mandanten registrieren.

Weitere Informationen zum Zuweisen von Rollen und Berechtigungen finden Sie unter Verwenden der rollenbasierten Zugriffssteuerung zum Verwalten des Zugriffs auf Ihre Azure-Abonnementressourcen.

Zuweisen von Benutzerrollen

Kundenschlüssel erfordert sowohl Key Vault Administratoren als auch Key Vault Mitwirkende, um den Zugriff auf Verschlüsselungsschlüssel zu verwalten und zu schützen.

  • Key Vault Administratoren erledigen tägliche Verwaltungsaufgaben wie Sichern, Erstellen, Abrufen, Importieren, Auflisten und Wiederherstellen. Standardmäßig verfügen sie nicht über die Berechtigung zum Löschen von Schlüsseln. Dieser Entwurf trägt dazu bei, dauerhaften Datenverlust zu verhindern. Erteilen Sie Löschberechtigungen nur vorübergehend und mit Vorsicht mithilfe der Rolle Mitwirkender.

  • Key Vault Mitwirkende können Berechtigungen verwalten und Rollen im Key Vault zuweisen. Verwenden Sie diese Rolle, um den Zugriff zu steuern, wenn Teammitglieder beitreten oder diese verlassen.

Ausführliche Schritte zum Zuweisen dieser Rollen mithilfe Azure RBAC finden Sie unter Azure integrierten Rollen für vorgänge auf Key Vault Datenebene.

Hinzufügen eines Schlüssels zu jedem Key Vault entweder durch Erstellen oder Importieren eines Schlüssels

Es gibt zwei Möglichkeiten zum Hinzufügen von Schlüsseln zu einem Azure Key Vault: Sie können einen Schlüssel direkt im Tresor erstellen oder einen vorhandenen Schlüssel importieren. Das Erstellen eines Schlüssels in Azure ist einfacher, aber das Importieren eines Schlüssels gibt Ihnen die vollständige Kontrolle darüber, wie der Schlüssel generiert wird. Verwenden Sie RSA-Schlüssel. Customer Key unterstützt RSA-Schlüssellängen von bis zu 4.096 Bits. Azure Key Vault unterstützt das Umschließen und Entpacken mit elliptischen Kurventasten (EC) nicht.

Informationen zum Hinzufügen eines Schlüssels zu jedem Tresor finden Sie unter Add-AzKeyVaultKey.

Wenn Sie es vorziehen, einen Schlüssel lokal zu generieren und dann in Azure zu importieren, führen Sie die Schritte unter Generieren und Übertragen von HSM-geschützten Schlüsseln für Azure Key Vault aus. Verwenden Sie die Azure Anweisungen, um jedem Key Vault einen Schlüssel hinzuzufügen.

Überprüfen des Ablaufdatums Ihrer Schlüssel

Führen Sie das Cmdlet Get-AzKeyVaultKey aus, um zu überprüfen, ob ihre Schlüssel kein Ablaufdatum haben.

Für Azure Key Vault:

Get-AzKeyVaultKey -VaultName <vault name>

Der Kundenschlüssel kann keine abgelaufenen Schlüssel verwenden. Wenn ein Schlüssel abgelaufen ist, schlägt jeder Vorgang, der ihn verwendet, fehl, was zu einem Dienstausfall führen kann. Es wird dringend empfohlen, dass schlüssel, die mit dem Kundenschlüssel verwendet werden, kein Ablaufdatum haben.

Nach dem Festlegen kann ein Ablaufdatum nicht entfernt werden, aber Sie können es ändern. Wenn Sie einen Schlüssel mit einem Ablaufdatum verwenden müssen, aktualisieren Sie ihn auf 12/31/9999 , und verwenden Sie die Legacy-Onboardingmethode. Jeder andere Ablaufwert schlägt die Überprüfung des Customer Key-Onboardings fehl.

Hinweis

Der Onboarding-Dienst für Kundenschlüssel akzeptiert nur Schlüssel ohne Ablaufdatum.

Verwenden Sie das Cmdlet Update-AzKeyVaultKey, um das Ablaufdatum in zu 12/31/9999ändern.

Update-AzKeyVaultKey -VaultName <vault name> -Name <key name> -Expires (Get-Date -Date "12/31/9999")

Achtung

Legen Sie keine Ablaufdaten für Verschlüsselungsschlüssel fest, die mit dem Kundenschlüssel verwendet werden.

Sichern Azure Key Vault Schlüssels

Nachdem Sie einen Schlüssel erstellt oder geändert haben, stellen Sie sicher, dass Sie ihn sofort sichern. Speichern Sie Sicherungskopien sowohl an Online- als auch an Offlinespeicherorten, um Datenverluste zu vermeiden.

Verwenden Sie zum Sichern eines Schlüssels in Azure Key Vault das Cmdlet Backup-AzKeyVaultKey.

Wichtig

Wenn ein Schlüssel ohne Sicherung gelöscht wird, kann er nicht wiederhergestellt werden. Erstellen Sie nach jeder Schlüsseländerung oder -erstellung immer eine Sicherung.

Abrufen eines URI für jeden Azure Key Vault-Schlüssel

Nachdem Sie Ihre Schlüsseltresore eingerichtet und Ihre Schlüssel hinzugefügt haben, führen Sie den folgenden Befehl aus, um den URI für jeden Schlüssel abzurufen. Sie benötigen diese URIs beim Erstellen und Zuweisen von DEPs. Achten Sie daher darauf, sie an einem sicheren Ort zu speichern.

Führen Sie den folgenden Befehl in Azure PowerShell aus – einmal für jede Key Vault:

(Get-AzKeyVaultKey -VaultName <vault name>).Id

Onboarding mithilfe des Customer Key Onboarding Service

Mit dem Microsoft 365 Customer Key Onboarding Service können Sie Kundenschlüssel in Ihrem Mandanten aktivieren. Dieser Dienst überprüft automatisch die erforderlichen Kundenschlüsselressourcen. Wenn Sie möchten, können Sie Ihre Ressourcen separat überprüfen, bevor Sie mit der Aktivierung fortfahren.

Wichtig

Dieser Dienst ist derzeit für die folgenden Szenarien nicht verfügbar:

Das für das Onboarding verwendete Konto muss über die folgenden Berechtigungen verfügen:

  1. Registrierungsberechtigungen für Dienstprinzipale: So registrieren Sie die erforderlichen Dienstprinzipale.
  2. Rolle "Leser": Auf jeder Azure Key Vault, die im Onboarding-Cmdlet verwendet wird.

Installieren des PowerShell-Moduls M365CustomerKeyOnboarding

  1. Melden Sie sich mit Azure PowerShell bei Ihrem Azure-Abonnement an. Eine Anleitung finden Sie unter Anmelden mit Azure PowerShell.

  2. Installieren Sie die neueste Version des M365CustomerKeyOnboarding Moduls aus dem PowerShell-Katalog.

  • Um zu bestätigen, dass Sie die neueste Version verwenden, überprüfen Sie die Registerkarte Versionsverlauf am unteren Rand der Modulseite.
  • Kopieren Sie den Installationsbefehl, fügen Sie ihn in Ihre Sitzung ein, und führen Sie ihn aus.
  • Wenn Sie dazu aufgefordert werden, wählen Sie Ja zu allen aus, um den Vorgang fortzusetzen.

Verwenden der beiden verschiedenen Onboardingmodi

Bei Verwendung des Customer Key Onboarding Service stehen zwei verschiedene Onboardingmodi zur Verfügung: Überprüfen und Aktivieren. Jeder Modus erfüllt einen anderen Zweck im Onboardingprozess.

Geben Sie beim Ausführen des Cmdlets (gemäß Anleitung unter Erstellen einer Onboardinganforderung) den Modus mithilfe des -OnboardingMode Parameters an.

Validieren

Verwenden Sie den Validate Modus, um zu bestätigen, dass ihre Kundenschlüssel-Ressourcenkonfiguration korrekt ist. In diesem Modus werden keine Änderungen an Ihrer Umgebung vorgenommen.

Wichtig

Sie können diesen Modus so oft wie erforderlich ausführen, insbesondere nachdem Sie Änderungen an Ihrer Konfiguration vorgenommen haben.

Aktivieren

Verwenden Sie den Enable Modus, wenn Sie bereit sind, Ihr Mandant in Customer Key zu integrieren. In diesem Modus wird der Kundenschlüssel für die Workload aktiviert, die Sie mit dem -Scenario Parameter angeben.

Wenn Sie Kundenschlüssel für mehrere Workloads und Exchange aktivieren möchten, führen Sie das Cmdlet zweimal und einmal für jede Workload aus.

Stellen Sie vor der Ausführung im Aktivierungsmodus sicher, dass die Validierungsergebnisse unter "Passed" (Bestanden) angezeigt ValidationResultwerden.

Wichtig

Ihre Ressourcen müssen alle Überprüfungen im Validate Modus bestehen, damit der Onboardingprozess im Aktivierungsmodus erfolgreich ist.

Erstellen einer Onboardinganforderung

Der erste Schritt im Onboardingprozess besteht darin, eine neue Anforderung zu erstellen. In PowerShell können Sie die Ergebnisse eines Cmdlets in einer Variablen speichern, indem Sie das $ Symbol gefolgt vom Variablennamen verwenden.

In diesem Beispiel wird die Onboardinganforderung in einer Variablen namens $requestgespeichert:

$request = New-CustomerKeyOnboardingRequest -Organization <tenantID> -Scenario <Scenario> -Subscription1 <subscriptionID1> -KeyIdentifier1 <KeyURI1> -Subscription2 <subscriptionID2> -KeyIdentifier2 <KeyURI2> -OnboardingMode <OnboardingMode>
Parameter Beschreibung Beispiel
-Organization Ihre Mandanten-ID im Format xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx. abcd1234-abcd-efgh-hijk-abcdef123456
-Scenario Die Workload, in die Sie das Onboarding durchführen. Optionen: MDEP – Kundenschlüssel für mehrere Workloads, EXO – Kundenschlüssel für Exchange MDEP oder EXO
-Subscription1 Azure Abonnement-ID des ersten Abonnements. p12ld534-1234-5678-9876-g3def67j9k12
-KeyIdentifier1 Der Schlüssel-URI des ersten AKV- oder HSM-Schlüssels, der für den Kundenschlüssel konfiguriert ist. https://exampleVault1.vault.azure.net/keys/customerKey1
-Subscription2 Azure Abonnement-ID des zweiten Abonnements. 21k9j76f-ed3g-6789-8765-43215dl21pbd
-KeyIdentifier2 Der Schlüssel-URI des zweiten AKV- oder HSM-Schlüssels, der für den Kundenschlüssel konfiguriert ist. https://exampleVault2.vault.azure.net/keys/customerKey2
-OnboardingMode Die auszuführende Onboardingaktion. Optionen: Validate – Überprüft Ihre Konfiguration, ohne Änderungen vorzunehmen. Nützlich für die Überprüfung vor dem Onboarding. Enable – Überprüft und aktiviert den Kundenschlüssel in Ihrem Mandanten, wenn die Überprüfung erfolgreich ist. Validateoder Enable

Melden Sie sich mit Ihren Mandantenadministratoranmeldeinformationen an.

Wenn Sie dazu aufgefordert werden, wird ein Browserfenster geöffnet. Melden Sie sich mit Ihrem Mandantenadministratorkonto mit den erforderlichen Berechtigungen an, um das Onboarding abzuschließen.

Aufforderung zur Anmeldung mit einem privilegierten Konto

Anzeigen von Überprüfungs- und Aktivierungsdetails

Kehren Sie nach der erfolgreichen Anmeldung zu Ihrem PowerShell-Fenster zurück. Führen Sie die Variable aus, die Sie beim Erstellen der Onboardinganforderung verwendet haben, um deren Ausgabe anzuzeigen:

$request

CKO-Anforderungsausgabe

Sie erhalten eine Ausgabe, die , CreatedDate, ValidationResultund EnablementResultenthältID.

Ausgabe Beschreibung
ID ID, die der erstellten Onboardinganforderung zugeordnet ist.
CreatedDate Datum, an dem die Anforderung erstellt wurde.
ValidationResult Indikator einer erfolgreichen/nicht erfolgreichen Überprüfung.
EnablementResult Indikator für erfolgreiche/nicht erfolgreiche Aktivierung.

Ein Mandant, der bereit für die Verwendung des Kundenschlüssels ist, zeigt Erfolg sowohl für als auch ValidationResultEnablementResult an, wie im folgenden Screenshot gezeigt:

Erfolgreiche CKO-Ausgabe

Wenn für beide Werte Success angezeigt wird, fahren Sie mit Nächste Schritte fort.

Problembehandlung bei Überprüfungsfehlern

Wenn die Überprüfung während des Onboardings fehlschlägt, führen Sie die folgenden Schritte aus, um die Ursache zu untersuchen. Durch diesen Prozess können Sie ermitteln, welche Kundenschlüsselressourcen falsch konfiguriert sind.

  1. Listen Sie alle Onboardinganforderungen für Ihren Mandanten auf, um die RequestID des zu untersuchenden Mandanten zu finden:
Get-CustomerKeyOnboardingRequest -OrganizationID <OrganizationID>
  1. Speichern Sie die spezifische Onboardinganforderung in einer Variablen:
$request = Get-CustomerKeyOnboardingRequest -OrganizationID <OrganizationID> -RequestID <RequestID>
  1. Zeigen Sie die Details der fehlgeschlagenen Überprüfung an:
$request.FailedValidations

Beispiel für fehlgeschlagene Überprüfungsausgabe in PowerShell

Jede Validierungsregel enthält die folgenden Felder:

  • ExpectedValue: Wie sollte die Ressourcenkonfiguration aussehen?
  • ActualValue: Was in Ihrer Umgebung erkannt wurde.
  • Bereich: Die ersten fünf Zeichen der Abonnement-ID, mit der Sie identifizieren können, welches Abonnement (und das zugehörige Key Vault) das Problem hat.
  • Details: Beschreibt die Grundursache und bietet Anleitungen zum Beheben des Problems.

In der folgenden Tabelle sind allgemeine Validierungsregeln und das Beheben von Fehlern zusammengefasst:

RuleName Beschreibung Lösung
OrganizationHasRequiredServicePlan Überprüft, ob Ihr organization über die erforderlichen Lizenzen verfügt. Weitere Informationen finden Sie unter Sicherstellen, dass Ihr Mandant über die erforderlichen Lizenzen verfügt.
KeyNeverExpires Stellt sicher, dass der Schlüssel kein Ablaufdatum hat. Weitere Informationen finden Sie in den Schritten zur Überprüfung des Schlüsselablaufs unter Konfigurationsspezifisches Setup.
KeyOperationsSupported Überprüft, ob der Schlüssel erforderliche Vorgänge für die Workload unterstützt. Weitere Informationen finden Sie in den Schritten zur Zuweisung von Berechtigungen unter Konfigurationsspezifisches Setup.
RecoveryLevel Überprüft, ob die Schlüsselwiederherstellungsebene ist Recoverable. Stellen Sie sicher, dass sowohl vorläufiges Löschen als auch Löschschutz aktiviert sind. Weitere Informationen finden Sie unter Aktivieren des vorläufigen Löschens und Löschschutzes für Azure Key Vault oder Erstellen einer Ressourcengruppenbereitstellung und Aktivieren eines verwalteten HSMs für verwaltetes HSM.
SubscriptionInRequestOrganization Bestätigt, dass Ihr Azure-Abonnement zu Ihrem organization gehört. Stellen Sie sicher, dass das Abonnement innerhalb des angegebenen Mandanten erstellt wurde.
SubscriptionsCountPerScenario Bestätigt, dass zwei Abonnements bereitgestellt wurden. Stellen Sie sicher, dass Ihre Onboardinganforderung zwei Abonnements enthält.
SubscriptionUniquePerScenario Stellt sicher, dass Sie zwei eindeutige Abonnements pro Szenario verwenden. Überprüfen Sie, ob sich beide Abonnement-IDs unterscheiden.
VaultExistsinSubscription Bestätigt, dass das AKV/verwaltete HSM Teil des angegebenen Abonnements ist. Überprüfen Sie, ob das Key Vault/HSM im richtigen Abonnement erstellt wurde.

Überprüfen bestandener Überprüfungen

Führen Sie die folgenden Schritte aus, um anzuzeigen, welche Überprüfungen während des Onboardingprozesses erfolgreich waren:

  1. Speichern der spezifischen Onboardinganforderung in der Variablen "$request"
$request = Get-CustomerKeyOnboardingRequest -OrganizationID <OrganizationID> -RequestID <RequestID>
  1. Führen Sie den folgenden Befehl aus, um alle erfolgreichen Überprüfungen anzuzeigen:
$request.PassedValidations

Dieser Befehl gibt eine Liste aller Überprüfungen zurück, die für die ausgewählte Onboardinganforderung erfolgreich bestanden wurden.

CKO PassedValidation

Onboarding in Customer Key mithilfe der Legacymethode

Verwenden Sie diese Methode nur, wenn der Customer Key Onboarding Service das Szenario Ihres Mandanten nicht unterstützt.

Nachdem Sie alle erforderlichen Schritte zum Einrichten Ihrer Azure Key Vaults und Abonnements abgeschlossen haben, wenden Sie sich an Microsoft-Support und bitten Sie um Unterstützung beim Onboarding von Kundenschlüsseln.

Onboarding in Customer Key für spezielle Cloudumgebungen

Wenn sich Ihr Mandant in GCC-H, DoD oder M365 befindet, betrieben von 21Vianet, führen Sie zuerst alle erforderlichen Schritte zum Einrichten des Kundenschlüssels aus.

Onboarding in Customer Key für SharePoint und OneDrive

Für das Onboarding in Customer Key für SharePoint und OneDrive muss Ihre Azure Key Vaults die folgenden Voraussetzungen erfüllen:

  1. Aktivieren Sie während der ersten Tresorerstellung sowohl vorläufiges Löschen als auch Löschschutz. Weitere Informationen finden Sie unter Aktivieren des vorläufigen Löschens und des Bereinigungsschutzes für Azure Key Vault.

  2. Behalten Sie einen Aufbewahrungszeitraum von 90 Tagen bei.

Wenn alle Voraussetzungen erfüllt sind, führen Sie die Schritte unter Erstellen eines DEP für die Verwendung mit SharePoint und OneDrive aus.

Nächste Schritte

Nach Abschluss der Einrichtungsschritte in diesem Artikel können Sie DEPs erstellen und zuweisen. Ausführliche Anweisungen finden Sie unter Verwalten des Kundenschlüssels.

  • Last updated on