Remarque
L’accès à cette page requiert une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page requiert une autorisation. Vous pouvez essayer de modifier des répertoires.
Microsoft Discovery chiffre les données client et système au repos à l’aide des fonctionnalités de chiffrement de la plateforme Azure. Le chiffrement au repos permet de protéger les données stockées contre un accès non autorisé et est activé automatiquement pour les ressources de découverte Microsoft.
Cet article explique quelles données sont chiffrées, les modèles de gestion des clés disponibles, et quand vous pourriez utiliser des clés gérées par le client au lieu des clés gérées par défaut par Microsoft.
Quelles données sont chiffrées au repos
Les données conservées par Microsoft Discovery sont chiffrées avant d'être écrites dans le système de stockage. Cette protection s’applique automatiquement et de manière transparente aux métadonnées de données et de service fournies par le client stockées par la plateforme.
Le chiffrement au repos est activé par défaut et ne nécessite pas de configuration, sauf si vous choisissez des clés gérées par le client pour une ressource prise en charge.
Options de gestion des clés
Microsoft Discovery prend en charge les modèles de gestion des clés de chiffrement suivants :
- clés gérées par Microsoft (par défaut) : Microsoft Discovery utilise des clés gérées par Microsoft. La plateforme gère la génération de clés, le stockage, la protection et la rotation. Aucune action du client n’est nécessaire.
- Clés gérées parcustomer (CMK) : Les ressources de découverte prises en charge Microsoft peuvent utiliser une clé que vous créez et gérez dans Azure Key Vault. Ce modèle vous permet de mieux contrôler les opérations clés du cycle de vie, telles que la rotation et la révocation.
Les clés gérées par le client sont prises en charge pour les ressources Bookshelf, Supercomputer et Workspace.
Important
Les clés gérées par le client sont configurées lors de la création de la ressource. Une fois la ressource créée, vous ne pouvez pas basculer entre les clés gérées par Microsoft et les clés gérées par le client pour cette ressource.
Comparer les clés gérées par Microsoft et les clés gérées par le client
Utilisez le tableau suivant pour comprendre la différence entre les deux options de gestion clés.
| Modèle de gestion des clés | Par défaut | Action client requise | Portée prise en charge |
|---|---|---|---|
| clés gérées par Microsoft | Oui | Non | Tous les locataires Microsoft Discovery |
| Clés gérées par le client | Non | Yes. Vous configurez Azure Key Vault, une clé de chiffrement et une identité managée. | Ressources Bibliothèque, Superordinateur et Espace de travail |
Les clés gérées par Microsoft sont le bon choix lorsque vous souhaitez un cryptage des données au repos sans configuration supplémentaire. Les clés gérées par le client sont utiles lorsque votre organisation nécessite un contrôle direct sur la clé de chiffrement utilisée pour protéger les ressources de découverte Microsoft prises en charge.
Contrôles d’accès et isolation des clés
Le chiffrement au repos fonctionne conjointement avec les contrôles d’identité et d’accès pour protéger les données stockées.
- Les clés de chiffrement ne sont pas accessibles aux opérateurs de service, aux ingénieurs ou au personnel de support.
- L’accès aux données chiffrées est régi par l'authentification Microsoft Entra ID, le contrôle d'accès basé sur les rôles Azure (Azure RBAC) et les identités gérées pour la communication entre services.
- La conception suit les principes de privilège minimum et de séparation des tâches.
Considérations relatives à la responsabilité partagée
Le chiffrement au repos permet de protéger les données stockées, mais elle n’atténue pas tous les risques de sécurité. Par exemple, le chiffrement au repos ne protège pas contre :
- Informations d’identification compromises
- Contrôles d’accès mal configurés
- Vulnérabilités au niveau de l’application
Les clients restent responsables de la gouvernance des identités, du contrôle d'accès et de la protection des données côté client avant d'être ingérées dans Microsoft découverte.