Chiffrement de OneDrive Entreprise et de l’API de migration SharePoint Online

2023-04-08

L’utilisation de l’API de migration nécessite de disposer d’un conteneur de stockage temporaire dans Azure. Ce conteneur Azure ne peut être ouvert qu’à l’aide d’une clé SAP. L’objectif de cette fonctionnalité est de permettre de transmettre du contenu chiffré au repos à l’API, ce qui signifie que même si un utilisateur malveillant a accès au conteneur, il ne pourra pas utiliser son contenu.

Quels éléments sont stockés dans le conteneurs d’objets blob Azure ?

L’API de migration a besoin du conteneur Azure pour le transfert de contenu ainsi que pour la journalisation et la mise en file d’attente. Il peut contenir les compartiments suivants :

Contenu

Fichiers
Manifeste
- Métadonnées
- Autorisations
- Éléments de liste
- Taxonomie
- Journaux (créés par SharePoint Online pour rendre compte des résultats de la migration)
File d’attente
- Génération de rapports en temps réel sur l’avancement

Qu’est-ce que la fonctionnalité de chiffrement ?

Lorsque vous utilisez le paramètre de chiffrement, tous les éléments répertoriés ci-dessus sont chiffrés au repos, et la clé doit être conservée pour lire les journaux et l’avancement en temps réel.

Cette fonctionnalité vise essentiellement à rendre le contenu inutilisable pour un utilisateur malveillant qui parviendrait à accéder au conteneur Azure.

Cela a un coût en termes de performances. Cette fonctionnalité est facultative lors de l'utilisation de l'API. Il est du reste recommandé de ne l'utiliser que pour les informations les plus confidentielles, car elle ralentit légèrement la migration. Une fois le travail de migration terminé, Microsoft détruit la clé, et il est impossible de récupérer celle-ci en cas de perte, même en faisant appel au support technique.

En tant que développeur tiers, comment tirer parti de la fonctionnalité chiffrement ?

Appel de l’API

La méthode pour appeler le travail de migration porte un autre nom et comprend un paramètre supplémentaire à la fin. Le nouveau nom est le suivant : CreateMigrationJobEncrypted

Le nouveau paramètre est le suivant : EncryptionOption

Pour l’instant, il ne prend en charge que la réception d’une clé de chiffrement AES256CBC.

Exemple :

    public Guid CreateMigrationJobEncrypted(
        Guid gWebId,
        string azureContainerSourceUri,
        string azureContainerManifestUri,
        string azureQueueReportUri,
        EncryptionOption AES256CBCKey)

Exigence supplémentaire

En ce qui concerne le chiffrement, chaque fichier doivent être chiffré et un vecteur d'initialisation (IV) doit lui être attribué. La méthode de chiffrement doit suivre la norme AES CBC 256. Un seul iv aléatoire de chiffrement doit être généré pour chaque fichier, y compris les manifestes du package, et doit être stocké en tant que propriété sur chaque fichier. Utilisez la méthode AesCryptoServiceProvider.GenerateIV pour générer un iv aléatoire unique pour chaque fichier.

Nom : [IV]
Valeur : [Tableau d’octets codé en base64 de l’iv]

Lecture de la file d’attente en cas de chiffrement

Lorsque vous utilisez l’option de chiffrement, les messages en file d’attente sont également chiffrés.

Il est important de mémoriser l’ID du travail. À défaut de disposer de la clé spécifique utilisée pour le travail, vous ne pourrez relire le message.

Voici le contenu JSON du message en file d’attente

{"Label": "Encrypted"},
{"JobId": "[JobId value]"},
{"IV": "[IV value in base64format]"},
{"Content": "[encrypted message in base64string]"}

Une fois déchiffrés, les messages sont identiques à l’API sans chiffrement.

Remarque

La migration n’est pas disponible pour les utilisateurs de Office 365 gérés par 21Vianet en Chine. Il n’est pas disponible pour les utilisateurs d’Office 365 utilisant le cloud allemand proposé par le tiers de confiance pour les données Deutsche Telekom. Toutefois, il est pris en charge pour les utilisateurs situés en Allemagne dont les données ne sont pas stockées dans le centre de données allemand.

Partager via