Configurer la clé client

Créer un Azure Key Vault Premium dans chaque abonnement

Avant de créer un coffre de clés, effectuez les étapes décrites dans Prise en main avec Azure Key Vault. Ces étapes vous guident tout au long de l’installation et du lancement de Azure PowerShell et de la connexion à votre abonnement. Ensuite, créez un groupe de ressources et un coffre de clés.

Lorsque vous créez un coffre de clés, vous devez choisir une référence SKU : Standard ou Premium. La référence SKU Standard utilise des clés protégées par logiciel sans module de sécurité matériel (HSM), tandis que la référence SKU Premium permet d’utiliser des modules HSM pour protéger les clés. Customer Key prend en charge les coffres de clés avec l’une des deux références SKU, mais Microsoft recommande vivement d’utiliser la référence SKU Premium. Le coût des opérations est le même pour les deux ; Ainsi, la seule différence de prix provient du coût mensuel de chaque clé protégée par HSM. Pour plus d’informations sur la tarification, consultez tarification Key Vault.

Activation de la suppression réversible et de la protection contre le vidage

Lorsque vous pouvez récupérer rapidement vos clés, vous êtes moins susceptible de rencontrer des pannes de service étendues en cas de suppression accidentelle ou malveillante. Cette fonctionnalité de récupération est appelée suppression réversible. Il vous permet de récupérer des clés ou coffres supprimés dans les 90 jours sans avoir à effectuer une restauration à partir d’une sauvegarde. La clé client exige que la suppression réversible soit activée pour tous les coffres et qu’elles aient une période de rétention de 90 jours. La suppression réversible est automatiquement activée pour les nouveaux coffres de clés Azure. Si vous utilisez des coffres existants où il n’est pas activé, vous pouvez l’activer manuellement.

Lorsque la protection contre le vidage est activée, un coffre ou un objet à l’état supprimé ne peut pas être vidé tant que la période de rétention n’est pas terminée. Les coffres et objets supprimés de manière réversible peuvent toujours être récupérés, ce qui garantit que la stratégie de rétention est suivie.

Pour activer la suppression réversible et la protection contre le vidage sur votre Azure Key Vault, consultez Azure Key Vault gestion de la récupération avec suppression réversible et protection contre le vidage.

Pour chaque charge de travail Microsoft 365 pour laquelle vous utilisez la clé client, créez un coffre de clés dans chacun des deux abonnements Azure que vous avez configurés précédemment.

configuration Key Vault

Par exemple, si vous utilisez la clé client pour plusieurs charges de travail, Exchange et SharePoint scénarios, vous avez besoin de trois paires de coffres de clés, pour un total de six. Utilisez une convention de nommage claire qui reflète l’utilisation prévue du DEP auquel vous associez les coffres. Le tableau suivant montre comment mapper chaque Azure Key Vault à chaque charge de travail.

La création de coffres de clés nécessite également la configuration Azure groupes de ressources. Les coffres de clés nécessitent une petite quantité de stockage, et la journalisation (si elle est activée) stocke également les données. En guise de bonne pratique, Microsoft recommande d’affecter différents administrateurs pour gérer chaque groupe de ressources. Ces rôles doivent s’aligner sur les administrateurs responsables de la gestion des ressources de clé client associées.

Pour Exchange, un DEP est limité au niveau de la boîte aux lettres. Une seule stratégie peut être affectée à chaque boîte aux lettres, et vous pouvez créer jusqu’à 50 stratégies. Une stratégie SharePoint couvre toutes les données dans l’emplacement géographique d’un organization (ou géo), tandis qu’une stratégie multi-charges de travail couvre les charges de travail prises en charge pour tous les utilisateurs de l’organization.

Attribuer des autorisations à chaque Azure Key Vault

Attribuez les autorisations requises à chaque coffre de clés à l’aide de Azure contrôle d’accès en fonction du rôle (Azure RBAC) dans le Portail Azure. Cette section explique comment appliquer les autorisations appropriées à l’aide de RBAC.

Attribution d’autorisations à l’aide de la méthode RBAC

Pour attribuer (wrapKey, , unwrapKeyet get) sur votre Azure Key Vault, attribuez le rôle Utilisateur de chiffrement du service de chiffrement Key Vault à l’application Microsoft 365 appropriée. Consultez Accorder aux applications l’autorisation d’accéder à un Azure Key Vault à l’aide de Azure RBAC.

Lorsque vous attribuez le rôle, recherchez les noms d’applications suivants dans votre locataire :

• Plusieurs charges de travail : M365DataAtRestEncryption

• Exchange : Office 365 Exchange Online

• SharePoint et OneDrive : Office 365 SharePoint Online

Si vous ne voyez pas l’application que vous recherchez, veillez à inscrire l’application dans le locataire.

Pour plus d’informations sur l’attribution de rôles et d’autorisations, consultez Utiliser le contrôle d’accès en fonction du rôle pour gérer l’accès à vos ressources d’abonnement Azure.

Attribution de rôles d’utilisateur

La clé client nécessite des administrateurs Key Vault et des contributeurs Key Vault pour gérer et protéger l’accès aux clés de chiffrement.

• Key Vault administrateurs gèrent des tâches de gestion quotidiennes telles que la sauvegarde, la création, l’obtention, l’importation, la liste et la restauration. Par défaut, ils n’ont pas l’autorisation de supprimer des clés. Cette conception permet d’éviter la perte permanente de données. Accordez uniquement des autorisations de suppression temporairement et avec précaution à l’aide du rôle Contributeur.

• Key Vault Contributeurs peuvent gérer les autorisations et attribuer des rôles dans le Key Vault. Utilisez ce rôle pour contrôler l’accès lorsque les membres de l’équipe rejoignent ou quittent l’équipe.

Pour obtenir des instructions détaillées sur l’attribution de ces rôles à l’aide de Azure RBAC, consultez Azure rôles intégrés pour les opérations de plan de données Key Vault.

Ajouter une clé à chaque Key Vault en créant ou en important une clé

Il existe deux façons d’ajouter des clés à un Azure Key Vault : vous pouvez créer une clé directement dans le coffre ou importer une clé existante. La création d’une clé dans Azure est plus simple, mais l’importation d’une clé vous donne un contrôle total sur la façon dont la clé est générée. Utilisez des clés RSA. Customer Key prend en charge les longueurs de clé RSA allant jusqu’à 4 096 bits. Azure Key Vault ne prend pas en charge l’habillage et le désencapsulation avec des touches de courbe elliptique (EC).

Pour ajouter une clé à chaque coffre, consultez Add-AzKeyVaultKey.

Si vous préférez générer une clé localement, puis l’importer dans Azure, effectuez les étapes décrites dans Comment générer et transférer des clés protégées par HSM pour Azure Key Vault. Utilisez les instructions Azure pour ajouter une clé à chaque Key Vault.

Vérifier la date d’expiration de vos clés

Pour case activée que vos clés n’ont pas de date d’expiration, exécutez l’applet de commande Get-AzKeyVaultKey.

Pour Azure Key Vault :

Get-AzKeyVaultKey -VaultName <vault name>

La clé client ne peut pas utiliser de clés expirées. Si une clé a expiré, toute opération qui l’utilise échoue, ce qui peut entraîner une panne de service. Nous recommandons vivement que les clés utilisées avec la clé client n’aient pas de date d’expiration.

Une fois définie, une date d’expiration ne peut pas être supprimée, mais vous pouvez la modifier. Si vous devez utiliser une clé avec une date d’expiration, mettez-la à jour vers 12/31/9999 et utilisez la méthode d’intégration héritée. Toute autre valeur d’expiration échoue à la validation de l’intégration de la clé client.

Pour remplacer la date 12/31/9999d’expiration par , utilisez l’applet de commande Update-AzKeyVaultKey .

Update-AzKeyVaultKey -VaultName <vault name> -Name <key name> -Expires (Get-Date -Date "12/31/9999")

Sauvegarder la clé Azure Key Vault

Après avoir créé ou modifié une clé, veillez à la sauvegarder immédiatement. Stockez les copies de sauvegarde à la fois dans des emplacements en ligne et hors connexion pour éviter la perte de données.

Pour sauvegarder une clé dans Azure Key Vault, utilisez l’applet de commande Backup-AzKeyVaultKey.

Obtenir l’URI de chaque clé Azure Key Vault

Après avoir configuré vos coffres de clés et ajouté vos clés, exécutez la commande suivante pour obtenir l’URI de chaque clé. Vous avez besoin de ces URI lors de la création et de l’attribution de points de contrôle d’accès ; veillez donc à les enregistrer dans un endroit sûr.

Exécutez la commande suivante dans Azure PowerShell, une fois pour chaque Key Vault :

(Get-AzKeyVaultKey -VaultName <vault name>).Id

Configurer une clé client avec HSM managé

La clé client Microsoft 365 prend en charge les clés RSA stockées dans Azure Key Vault HSM managé, une solution compatible FIPS 140-2 de niveau 3.

Le HSM managé est un service monolocataire entièrement managé, hautement disponible qui permet de protéger les clés de chiffrement à l’aide de modules de sécurité matériels (HSM) fiPS 140-2 de niveau 3. Il prend en charge les applications cloud qui nécessitent une protection par clé d’assurance élevée.

Pour plus d’informations sur le service, consultez vue d’ensemble du HSM managé Azure Key Vault.

Pour configurer la clé client à l’aide du HSM managé, suivez les étapes indiquées dans l’ordre indiqué. Cet article inclut des instructions détaillées pour les tâches spécifiques au HSM et des liens vers les étapes de configuration partagées du processus de clé client standard.

Créer un groupe de ressources, provisionner et activer un HSM managé

Contrairement aux Azure Key Vault standard, qui nécessitent généralement trois paires de coffres de clés (six au total) pour prendre en charge toutes les charges de travail, le HSM managé ne nécessite que deux instances, une par abonnement Azure, quel que soit le nombre de charges de travail de clé client que vous envisagez d’utiliser.

Pour provisionner et activer vos instances de HSM managé, suivez les étapes décrites dans démarrage rapide HSM managé à l’aide de PowerShell.

Attribuer des autorisations à chaque HSM managé

Le HSM managé utilise le contrôle d’accès en fonction du rôle (RBAC) local pour gérer les autorisations. Pour attribuer l’accès requis pour la clé client, vous devez accorder le rôle Utilisateur de chiffrement du service de chiffrement HSM managé à l’application Microsoft 365 appropriée.

Ce rôle accorde les autorisations suivantes sur la clé : wrapKey, unwrapKeyet get.

Pour plus d’informations, consultez Gestion des rôles HSM managé.

Lorsque vous attribuez le rôle, recherchez les noms d’application Microsoft 365 suivants :

• Plusieurs charges de travail : M365DataAtRestEncryption
• Exchange : Office 365 Exchange Online
• SharePoint et OneDrive : Office 365 SharePoint Online

Si vous ne voyez pas l’application attendue dans votre locataire, vérifiez que vous avez inscrit les principaux de service requis.

Pour en savoir plus sur l’attribution de rôles, consultez Utiliser le contrôle d’accès en fonction du rôle pour gérer l’accès à vos ressources d’abonnement Azure.

Attribuer des rôles d’utilisateur à votre HSM managé

Les administrateurs HSM managés sont responsables des tâches de gestion quotidiennes telles que backup, create, get, importlistet restore.

Pour obtenir des définitions de rôles et des conseils sur l’attribution de rôles d’utilisateur, consultez Attribution de rôles d’utilisateur.

Ajouter une clé à chaque HSM managé

HSM managé prend uniquement en charge les clés protégées par HSM. Lorsque vous créez des clés à utiliser avec la clé client, vous devez utiliser le type de clé RSA-HSM .

Pour créer une clé directement dans le HSM managé, suivez les étapes décrites dans Add-AzKeyVaultKey.

Si vous préférez générer une clé localement, puis l’importer dans votre HSM managé, consultez Comment générer et transférer des clés protégées par HSM pour Azure Key Vault.

Suivez ces instructions pour créer une clé dans chaque instance HSM managé.

Vérifier la date d’expiration de vos clés HSM managées

Pour case activée que vos clés n’ont pas de date d’expiration, exécutez l’applet de commande Get-AzKeyVaultKey.

Pour le HSM managé :

Get-AzKeyVaultKey -HsmName <HSM name>

La clé client ne peut pas utiliser de clés expirées. Si une clé a expiré, toute opération qui l’utilise échoue, ce qui peut entraîner une panne de service. Nous recommandons vivement que les clés utilisées avec la clé client n’aient pas de date d’expiration.

Une fois définie, une date d’expiration ne peut pas être supprimée, mais vous pouvez la modifier. Si vous devez utiliser une clé avec une date d’expiration, mettez-la à jour vers 12/31/9999 et utilisez la méthode d’intégration héritée. Toute autre valeur d’expiration échoue à la validation Microsoft 365.

Pour remplacer la date 12/31/9999d’expiration par , utilisez l’applet de commande Update-AzKeyVaultKey .

Update-AzKeyVaultKey -HsmName <HSM name> -Name <key name> -Expires (Get-Date -Date "12/31/9999")

Sauvegarder votre clé HSM managée

Pour sauvegarder votre clé HSM managée, consultez Backup-AzKeyVaultKey.

Obtenir l’URI pour chaque clé HSM managée

Après avoir configuré vos modules HSM managés et ajouté vos clés, exécutez la commande suivante pour obtenir l’URI de chaque clé. Vous avez besoin de ces URI lors de la création et de l’attribution de stratégies de chiffrement des données (DEPs), veillez donc à les enregistrer dans un endroit sécurisé.

Exécutez la commande suivante dans Azure PowerShell, une fois pour chaque Key Vault :

(Get-AzKeyVaultKey -HsmName <HSM name>).Id