Configurar Chave de Cliente

A Chave de Cliente permite-lhe controlar as chaves de encriptação da sua organização e configurar o Microsoft 365 para utilizar essas chaves para encriptar os seus dados inativos nos datacenters da Microsoft.

Este artigo explica-lhe como criar e configurar os recursos de Azure necessários e, em seguida, ativar a Chave de Cliente. Após a configuração, pode atribuir políticas que determinam que chaves encriptam dados em cargas de trabalho do Microsoft 365.

Para obter uma descrição geral e mais informações, veja Descrição geral da Chave de Cliente.

Pré-requisitos

Antes de configurar a Chave de Cliente, certifique-se de que tem:

• Licenciamento: um dos seguintes:
  • Office 365 E5
  • Microsoft 365 E5
  • Suíte do Microsoft Purview (anteriormente Microsoft 365 E5 Compliance)
  • Microsoft 365 E5 Proteção da Informação & Governança
  • Segurança e Conformidade do Microsoft 365 para FLW
  • As licenças de Conformidade Avançada do Office 365 existentes também são suportadas
• Azure subscrições: não são elegíveis duas subscrições de Azure pagas (Gratuito, Avaliação, Patrocínio, MSDN ou Suporte Legado)
• Permissões: permissões de administrador do Exchange (todas as operações da Chave de Cliente são executadas através do Exchange Online PowerShell)
• Módulos do PowerShell:
  • Azure PowerShell (recomendado v4.4.0 ou superior) para operações de Key Vault/HSM
  • Exchange Online o PowerShell para operações DEP
• conhecimentos Azure: Familiaridade com conceitos de inquilinos Azure Key Vault e Microsoft Entra

Se precisar de ajuda para além da documentação, contacte Suporte da Microsoft. Para partilhar comentários ou sugestões sobre a Chave de Cliente ou esta documentação, visite a Comunidade do Microsoft 365.

Descrição geral dos passos para configurar a Chave de Cliente

Para configurar a Chave de Cliente, conclua as seguintes tarefas por ordem. O resto deste artigo fornece instruções detalhadas para cada tarefa ou liga-se para mais informações para cada passo do processo.

Pré-requisitos para todas as configurações

• Criar duas novas subscrições de Azure
• Registar os Principais de Serviço necessários

Configuração específica da configuração

• Configurar com Azure Key Vault
• Configurar com o HSM Gerido

Opções de integração

Escolha o método de inclusão que se aplica ao seu cenário:

• Integrar com o Serviço de Inclusão da Chave de Cliente (recomendado para a maioria dos inquilinos)
• Integrar na Chave de Cliente do SharePoint e oneDrive
• Integrar na Chave de Cliente para ambientes de cloud especiais

Referência rápida: Comandos de configuração de chaves

Utilize as tabelas seguintes para localizar rapidamente os comandos de que precisa durante a configuração.

Registo do principal de serviço

operações de Azure Key Vault

Operações HSM geridas

Inclusão da Chave de Cliente

Criar duas novas subscrições de Azure

A Chave de Cliente requer duas subscrições Azure. Como melhor prática, a Microsoft recomenda a criação de novas subscrições Azure especificamente para utilização com a Chave de Cliente.

Azure Key Vault chaves só podem ser autorizadas para aplicações no mesmo inquilino Microsoft Entra. Para atribuir políticas de encriptação de dados (DEPs), certifique-se de que cria ambas as subscrições no mesmo inquilino Microsoft Entra utilizado pela sua organização. Por exemplo, utilize a sua conta escolar ou profissional que tenha privilégios de administrador adequados na sua organização. Para obter orientações passo a passo, consulte Inscrever-se para Azure como uma organização.

Seguir estas melhores práticas reduz o risco de erro humano e simplifica a gestão da Chave de Cliente.

Registar os Principais de Serviço necessários

Para utilizar a Chave de Cliente, o inquilino tem de ter os principais de serviço necessários registados. As secções seguintes mostram-lhe como marcar se os principais de serviço já estão registados no seu inquilino. Se não estiverem, execute o cmdlet "New-AzADServicePrincipal" .

Registar o Principal de Serviço da Aplicação de Inclusão da Chave de Cliente

Para marcar se a aplicação Inclusão da Chave de Cliente já estiver registada com as permissões corretas, execute o seguinte comando:

Get-AzADServicePrincipal -ServicePrincipalName 19f7f505-34aa-44a4-9dcc-6a768854d2ea

Se não estiver registado, execute:

New-AzADServicePrincipal -ApplicationId 19f7f505-34aa-44a4-9dcc-6a768854d2ea

Registar o Principal de Serviço da Aplicação M365DataAtRestEncryption

Para marcar se a aplicação M365DataAtRestEncryption já estiver registada com as permissões corretas, execute o seguinte comando:

Get-AzADServicePrincipal -ServicePrincipalName c066d759-24ae-40e7-a56f-027002b5d3e4

Se não estiver registado, execute:

New-AzADServicePrincipal -ApplicationId c066d759-24ae-40e7-a56f-027002b5d3e4

Registar o Principal de Serviço da Aplicação Office 365 Exchange Online

Para marcar se a aplicação Office 365 Exchange Online já estiver registada com as permissões corretas, execute o seguinte comando:

Get-AzADServicePrincipal -ServicePrincipalName 00000002-0000-0ff1-ce00-000000000000

Se não estiver registado, execute:

New-AzADServicePrincipal -ApplicationId 00000002-0000-0ff1-ce00-000000000000

Passos de configuração específicos da configuração

Get-AzKeyVaultKey -VaultName <vault name>

Update-AzKeyVaultKey -VaultName <vault name> -Name <key name> -Expires (Get-Date -Date "12/31/9999")

(Get-AzKeyVaultKey -VaultName <vault name>).Id

Get-AzKeyVaultKey -HsmName <HSM name>

Update-AzKeyVaultKey -HsmName <HSM name> -Name <key name> -Expires (Get-Date -Date "12/31/9999")

(Get-AzKeyVaultKey -HsmName <HSM name>).Id

Integrar com o Serviço de Inclusão da Chave de Cliente

O Serviço de Inclusão da Chave de Cliente do Microsoft 365 permite-lhe ativar a Chave de Cliente no seu inquilino. Este serviço valida automaticamente os recursos necessários da Chave de Cliente. Se preferir, pode validar os seus recursos separadamente antes de continuar com a ativação.

A conta utilizada para integração tem de ter as seguintes permissões:

1. Permissões de registo do principal de serviço: para registar os principais de serviço necessários.
2. Função de leitor: em cada Azure Key Vault utilizada no cmdlet de inclusão.

Instalar o módulo do M365CustomerKeyOnboarding PowerShell

1. Inicie sessão na sua subscrição do Azure com Azure PowerShell. Para obter orientações, consulte Iniciar sessão com Azure PowerShell.

2. Instale a versão mais recente do módulo a M365CustomerKeyOnboarding partir do Galeria do PowerShell.

• Para confirmar que está a utilizar a versão mais recente, marcar o separador Histórico de Versões na parte inferior da página do módulo.
• Copie e cole o comando de instalação na sua sessão e execute-o.
• Se lhe for pedido, selecione Sim para Todos para continuar.

Utilizar os dois modos de inclusão diferentes

Existem dois modos de inclusão diferentes disponíveis ao utilizar o Serviço de Inclusão da Chave de Cliente: Validar e Ativar. Cada modo tem um objetivo diferente no processo de integração.

Ao executar o cmdlet (conforme orientado em Criar um pedido de inclusão), especifique o modo com o -OnboardingMode parâmetro .

Validar

Utilize o Validate modo para confirmar que a configuração do recurso da Chave de Cliente está correta. Este modo não efetua alterações ao seu ambiente.

Habilitar

Utilize o Enable modo quando estiver pronto para integrar o seu inquilino na Chave de Cliente. Este modo ativa a Chave de Cliente para a carga de trabalho que especificar com o -Scenario parâmetro .

Se quiser ativar a Chave de Cliente para Múltiplas Cargas de Trabalho e o Exchange, execute o cmdlet duas vezes, uma vez para cada carga de trabalho.

Antes de executar no modo Ativar, certifique-se de que os resultados de validação mostram Transmitido emValidationResult.

Criar um pedido de inclusão

O primeiro passo no processo de inclusão é criar um novo pedido. No PowerShell, pode armazenar os resultados de um cmdlet numa variável com o $ símbolo seguido do nome da variável.

Neste exemplo, o pedido de inclusão é armazenado numa variável chamada $request:

$request = New-CustomerKeyOnboardingRequest -Organization <tenantID> -Scenario <Scenario> -Subscription1 <subscriptionID1> -KeyIdentifier1 <KeyURI1> -Subscription2 <subscriptionID2> -KeyIdentifier2 <KeyURI2> -OnboardingMode <OnboardingMode>

Inicie sessão com as suas credenciais de administrador inquilino

Quando lhe for pedido, é aberta uma janela do browser. Inicie sessão com a sua conta de administrador inquilino com os privilégios necessários para concluir a integração.

Ver detalhes de validação e ativação

Depois de iniciar sessão com êxito, regresse à janela do PowerShell. Execute a variável que utilizou ao criar o pedido de inclusão para ver o resultado:

$request

Recebe um resultado que inclui ID, CreatedDate, ValidationResulte EnablementResult.

Um inquilino pronto para utilizar a Chave de Cliente mostra Êxito para e ValidationResultEnablementResult conforme mostrado na seguinte captura de ecrã:

Se ambos os valores mostrarem Êxito, avance para Passos Seguintes.

Resolver problemas de detalhes de validações falhadas

Se a validação falhar durante a integração, execute os seguintes passos para investigar a causa. Este processo ajuda a identificar que recursos da Chave de Cliente estão configurados incorretamente.

1. Liste todos os pedidos de inclusão do seu inquilino para encontrar o RequestID do que pretende investigar:

Get-CustomerKeyOnboardingRequest -OrganizationID <OrganizationID>

2. Armazene o pedido de inclusão específico numa variável:

$request = Get-CustomerKeyOnboardingRequest -OrganizationID <OrganizationID> -RequestID <RequestID>

3. Veja os detalhes da validação falhada:

$request.FailedValidations

Cada regra de validação inclui os seguintes campos:

• ExpectedValue: qual deve ser a configuração do recurso.
• ActualValue: o que foi detetado no seu ambiente.
• Âmbito: os primeiros cinco carateres do ID de subscrição que o ajudam a identificar que subscrição (e o respetivo Key Vault associado) tem o problema.
• Detalhes: descreve a causa principal e oferece orientação para resolve o problema.

A tabela seguinte resume as regras de validação comuns e como resolve falhas:

Verificar validações aprovadas

Para ver que validações foram bem-sucedidas durante o processo de integração, execute os seguintes passos:

1. Armazene o pedido de inclusão específico na variável "$request"

$request = Get-CustomerKeyOnboardingRequest -OrganizationID <OrganizationID> -RequestID <RequestID>

2. Execute o seguinte comando para apresentar todas as validações transmitidas:

$request.PassedValidations

Este comando devolve uma lista de todas as validações que foram transmitidas com êxito para o pedido de inclusão selecionado.

Integrar na Chave de Cliente para ambientes de cloud especiais

Se o inquilino estiver localizado em GCC-H, DoD ou M365 operado pela 21Vianet, conclua primeiro todos os passos de configuração da Chave de Cliente necessários.

• Para inquilinos GCC-H e DoD, contacte Suporte da Microsoft e solicite a inclusão de inquilinos governamentais.

• Para clientes no Microsoft 365 operado pela 21Vianet (China), configure os recursos da Chave de Cliente com Azure operados pelo portal 21Vianet. Em seguida, contacte Suporte da Microsoft e solicite a inclusão do seu inquilino.

Integrar na Chave de Cliente do SharePoint e oneDrive

Para integrar a Chave de Cliente do SharePoint e do OneDrive, os Azure Key Vaults têm de cumprir os seguintes pré-requisitos:

1. Ative a eliminação recuperável e a proteção contra remoção durante o processo inicial de criação do cofre. Veja Ativar a Eliminação Recuperável e a Proteção contra Remoção para Azure Key Vault.

Se este pré-requisito for cumprido, execute os passos em Criar um DEP para utilização com o SharePoint e o OneDrive.

Próximas etapas

Depois de concluir os passos de configuração neste artigo, está pronto para criar e atribuir DEPs. Para obter instruções detalhadas, veja Gerir a Chave de Cliente.

Artigos relacionados

• Encriptação do Customer Key Service com a Chave de Cliente do Microsoft Purview

• Gerenciar Chave de Cliente

• Rolar ou girar uma Chave de Cliente ou uma chave de disponibilidade

• Saiba mais sobre a chave de disponibilidade

• Criptografia de serviço e gerenciamento de chaves