Configurar clave de cliente

Creación de una Azure Key Vault premium en cada suscripción

Antes de crear un almacén de claves, realice los pasos descritos en Introducción con Azure Key Vault. Estos pasos le guían a través de la instalación y el inicio de Azure PowerShell y la conexión a la suscripción. A continuación, cree un grupo de recursos y un almacén de claves.

Al crear un almacén de claves, debe elegir una SKU: Standard o Premium. La SKU de Standard usa claves protegidas por software sin un módulo de seguridad de hardware (HSM), mientras que la SKU premium permite el uso de HSM para proteger las claves. Customer Key admite almacenes de claves con cualquiera de las dos SKU, pero Microsoft recomienda encarecidamente usar la SKU Premium. El costo de las operaciones es el mismo para ambos; Por lo tanto, la única diferencia de precio procede del costo mensual de cada clave protegida por HSM. Para obtener más información sobre los precios, consulte Key Vault precios.

Habilitación de la eliminación temporal y la protección contra purgas

Cuando puede recuperar rápidamente las claves, es menos probable que experimente interrupciones del servicio extendidas debido a la eliminación accidental o malintencionada. Esta característica de recuperación se denomina eliminación temporal. Permite recuperar claves o almacenes eliminados en un plazo de 90 días sin necesidad de restaurar desde una copia de seguridad. La clave de cliente requiere que todos los almacenes tengan habilitada la eliminación temporal y tengan un período de retención de 90 días. La eliminación temporal se habilita automáticamente para los nuevos Azure Key Vault. Si usa almacenes existentes donde no está activado, puede habilitarlo manualmente.

Cuando la protección de purga está activada, un almacén o un objeto en estado eliminado no se pueden purgar hasta que transcurre el período de retención. Los almacenes y objetos eliminados temporalmente todavía se pueden recuperar, lo que garantiza que se sigue la directiva de retención.

Para habilitar la eliminación temporal y la protección contra purgas en el Azure Key Vault, consulte administración de Azure Key Vault recuperación con protección de eliminación temporal y purga.

Para cada carga de trabajo de Microsoft 365 para la que use la clave de cliente, cree un almacén de claves en cada una de las dos suscripciones Azure que configuró anteriormente.

configuración de Key Vault

Por ejemplo, si usa la clave de cliente para varios escenarios de cargas de trabajo, Exchange y SharePoint, necesita tres pares de almacenes de claves para un total de seis. Use una convención de nomenclatura clara que refleje el uso previsto del DEP con el que se asocian los almacenes. En la tabla siguiente se muestra cómo asignar cada Azure Key Vault a cada carga de trabajo.

La creación de almacenes de claves también requiere la configuración de Azure grupos de recursos. Los almacenes de claves requieren una pequeña cantidad de almacenamiento y el registro (si está habilitado) también almacena datos. Como procedimiento recomendado, Microsoft recomienda asignar administradores diferentes para administrar cada grupo de recursos. Estos roles deben alinearse con los administradores responsables de administrar los recursos de clave de cliente asociados.

Para Exchange, un DEP se limita al nivel de buzón. Cada buzón solo puede tener asignada una directiva y puede crear hasta 50 directivas. Una directiva de SharePoint cubre todos los datos de la ubicación geográfica (o geográfica) de una organización, mientras que una directiva de varias cargas de trabajo cubre las cargas de trabajo admitidas en todos los usuarios de la organización.

Asignar permisos a cada Azure Key Vault

Asigne los permisos necesarios a cada almacén de claves mediante Azure control de acceso basado en rol (Azure RBAC) en el Azure Portal. En esta sección se explica cómo aplicar los permisos correctos mediante RBAC.

Asignación de permisos mediante el método RBAC

Para asignar (wrapKey, unwrapKeyy get) en el Azure Key Vault, asigne el rol de usuario de cifrado de servicio criptográfico Key Vault a la aplicación de Microsoft 365 adecuada. Consulte Concesión de permisos a las aplicaciones para acceder a un Azure Key Vault mediante Azure RBAC.

Al asignar el rol, busque los siguientes nombres de aplicación en el inquilino:

• Varias cargas de trabajo: M365DataAtRestEncryption

• Exchange: Office 365 Exchange Online

• SharePoint y OneDrive: Office 365 SharePoint Online

Si no ve la aplicación que está buscando, asegúrese de registrar la aplicación en el inquilino.

Para obtener más información sobre cómo asignar roles y permisos, consulte Uso del control de acceso basado en rol para administrar el acceso a los recursos de suscripción de Azure.

Asignación de roles de usuario

La clave de cliente requiere administradores de Key Vault y colaboradores de Key Vault para administrar y proteger el acceso a las claves de cifrado.

• Key Vault Los administradores controlan tareas de administración diarias, como la copia de seguridad, la creación, la obtención, la importación, la lista y la restauración. Por diseño, no tienen permiso para eliminar claves. Este diseño ayuda a evitar la pérdida de datos permanente. Conceda solo permisos de eliminación temporalmente y con precaución mediante el rol Colaborador.

• Key Vault Colaboradores pueden administrar permisos y asignar roles en el Key Vault. Use este rol para controlar el acceso cuando los miembros del equipo se unan o se vayan.

Para obtener pasos detallados sobre cómo asignar estos roles mediante Azure RBAC, consulte Azure roles integrados para Key Vault operaciones del plano de datos.

Agregue una clave a cada Key Vault creando o importando una clave.

Hay dos maneras de agregar claves a un Azure Key Vault: puede crear una clave directamente en el almacén o importar una clave existente. La creación de una clave en Azure es más sencilla, pero la importación de una clave proporciona control total sobre cómo se genera la clave. Use claves RSA. La clave de cliente admite longitudes de clave RSA de hasta 4096 bits. Azure Key Vault no admite el ajuste y desencapsulado con teclas de curva elíptica (EC).

Para agregar una clave a cada almacén, consulte Add-AzKeyVaultKey.

Si prefiere generar una clave local y, a continuación, importarla en Azure, siga los pasos descritos en Cómo generar y transferir claves protegidas por HSM para Azure Key Vault. Use las instrucciones de Azure para agregar una clave a cada Key Vault.

Comprobación de la fecha de expiración de las claves

Para comprobar que las claves no tienen una fecha de expiración, ejecute el cmdlet Get-AzKeyVaultKey .

Para Azure Key Vault:

Get-AzKeyVaultKey -VaultName <vault name>

La clave de cliente no puede usar claves expiradas. Si una clave ha expirado, se produce un error en cualquier operación que la use, lo que puede provocar una interrupción del servicio. Se recomienda encarecidamente que las claves usadas con clave de cliente no tengan una fecha de expiración.

Una vez establecida, no se puede quitar una fecha de expiración, pero puede cambiarla. Si debe usar una clave con una fecha de expiración, actualícela a 12/31/9999 y use el método de incorporación heredado. Cualquier otro valor de expiración produce un error en la validación de incorporación de la clave de cliente.

Para cambiar la fecha de expiración a 12/31/9999, use el cmdlet Update-AzKeyVaultKey .

Update-AzKeyVaultKey -VaultName <vault name> -Name <key name> -Expires (Get-Date -Date "12/31/9999")

Copia de seguridad de Azure Key Vault clave

Después de crear o modificar una clave, asegúrese de realizar una copia de seguridad inmediatamente. Almacene copias de seguridad en ubicaciones en línea y sin conexión para ayudar a evitar la pérdida de datos.

Para realizar una copia de seguridad de una clave en Azure Key Vault, use el cmdlet Backup-AzKeyVaultKey.

Obtención del URI para cada clave de Azure Key Vault

Después de configurar los almacenes de claves y agregar las claves, ejecute el siguiente comando para obtener el URI de cada clave. Necesita estos URI al crear y asignar DEP; por lo tanto, asegúrese de guardarlos en algún lugar seguro.

Ejecute el siguiente comando en Azure PowerShell, una vez para cada Key Vault:

(Get-AzKeyVaultKey -VaultName <vault name>).Id

Configuración de la clave de cliente con HSM administrado

La clave de cliente de Microsoft 365 admite claves RSA almacenadas en Azure Key Vault HSM administrado, una solución compatible con FIPS 140-2 nivel 3.

HSM administrado es un servicio de inquilino único totalmente administrado y de alta disponibilidad que ayuda a proteger las claves criptográficas mediante módulos de seguridad de hardware (HSM) validados con FIPS 140-2 nivel 3. Admite aplicaciones en la nube que requieren protección de claves de alta garantía.

Para obtener más información sobre el servicio, consulte la introducción a Azure Key Vault Managed HSM.

Para configurar la clave de cliente mediante Managed HSM, siga los pasos del orden indicado. En este artículo se incluyen instrucciones detalladas para tareas específicas de HSM y vínculos a los pasos de configuración compartida del proceso estándar de clave de cliente.

Creación de un grupo de recursos, aprovisionamiento y activación de un HSM administrado

A diferencia de Azure Key Vault estándar, que normalmente requiere tres pares de almacenes de claves (seis en total) para admitir todas las cargas de trabajo, HSM administrado solo requiere dos instancias, una por Azure suscripción, independientemente del número de cargas de trabajo de clave de cliente que planee usar.

Para aprovisionar y activar las instancias de HSM administradas, siga los pasos descritos en el inicio rápido de Managed HSM mediante PowerShell.

Asignación de permisos a cada HSM administrado

HSM administrado usa el control de acceso basado en rol (RBAC) local para administrar los permisos. Para asignar el acceso necesario para la clave de cliente, debe conceder el rol De usuario de cifrado de servicio criptográfico de HSM administrado a la aplicación de Microsoft 365 adecuada.

Este rol concede los siguientes permisos en la clave : wrapKey, unwrapKeyy get.

Para obtener más información, consulte Administración de roles de HSM administrado.

Al asignar el rol, busque los siguientes nombres de aplicación de Microsoft 365:

• Varias cargas de trabajo: M365DataAtRestEncryption
• Exchange: Office 365 Exchange Online
• SharePoint y OneDrive: Office 365 SharePoint Online

Si no ve la aplicación esperada en el inquilino, compruebe que registró las entidades de servicio necesarias.

Para más información sobre la asignación de roles, consulte Uso del control de acceso basado en rol para administrar el acceso a los recursos de suscripción de Azure.

Asignación de roles de usuario al HSM administrado

Los administradores de HSM administrados son responsables de las tareas de administración diarias, como backup, create, get, import, listy restore.

Para obtener definiciones de roles e instrucciones sobre cómo asignar roles de usuario, consulte Asignación de roles de usuario.

Adición de una clave a cada HSM administrado

HSM administrado solo admite claves protegidas por HSM. Al crear claves para usarlas con clave de cliente, debe usar el tipo de clave RSA-HSM .

Para crear una clave directamente en Managed HSM, siga los pasos descritos en Add-AzKeyVaultKey.

Si prefiere generar una clave local y, a continuación, importarla en el HSM administrado, consulte Cómo generar y transferir claves protegidas por HSM para Azure Key Vault.

Use estas instrucciones para crear una clave en cada instancia de HSM administrada.

Comprobación de la fecha de expiración de las claves de HSM administradas

Para comprobar que las claves no tienen una fecha de expiración, ejecute el cmdlet Get-AzKeyVaultKey .

Para HSM administrado:

Get-AzKeyVaultKey -HsmName <HSM name>

La clave de cliente no puede usar claves expiradas. Si una clave ha expirado, se produce un error en cualquier operación que la use, lo que puede provocar una interrupción del servicio. Se recomienda encarecidamente que las claves usadas con clave de cliente no tengan una fecha de expiración.

Una vez establecida, no se puede quitar una fecha de expiración, pero puede cambiarla. Si debe usar una clave con una fecha de expiración, actualícela a 12/31/9999 y use el método de incorporación heredado. Cualquier otro valor de expiración produce un error en la validación de Microsoft 365.

Para cambiar la fecha de expiración a 12/31/9999, use el cmdlet Update-AzKeyVaultKey .

Update-AzKeyVaultKey -HsmName <HSM name> -Name <key name> -Expires (Get-Date -Date "12/31/9999")

Copia de seguridad de la clave HSM administrada

Para realizar una copia de seguridad de la clave HSM administrada, consulte Backup-AzKeyVaultKey.

Obtención del URI para cada clave de HSM administrado

Después de configurar los HSM administrados y agregar las claves, ejecute el siguiente comando para obtener el URI de cada clave. Necesita estos URI al crear y asignar directivas de cifrado de datos (DEP), así que asegúrese de guardarlos en algún lugar seguro.

Ejecute el siguiente comando en Azure PowerShell, una vez para cada Key Vault:

(Get-AzKeyVaultKey -HsmName <HSM name>).Id