Dikelola pelanggan: Operasi siklus hidup kunci penyewa

Catatan

Apakah Anda mencari Perlindungan Informasi Microsoft Purview, sebelumnya Microsoft Information Protection (MIP)?

Add-in Perlindungan Informasi Azure dihentikan dan diganti dengan label yang disertakan dalam aplikasi dan layanan Microsoft 365 Anda. Pelajari selengkapnya tentang status dukungan komponen Perlindungan Informasi Azure lainnya.

Klien Perlindungan Informasi Microsoft Purview (tanpa add-in) umumnya tersedia.

Jika Anda mengelola kunci penyewa untuk Perlindungan Informasi Azure (kunci Anda sendiri, atau BYOK, skenario), gunakan bagian berikut untuk informasi selengkapnya tentang operasi siklus hidup yang relevan dengan topologi ini.

Mencabut kunci penyewa Anda

Ada sangat sedikit skenario ketika Anda mungkin perlu mencabut kunci Anda alih-alih mengulangi. Saat Anda mencabut kunci, semua konten yang telah dilindungi oleh penyewa Anda menggunakan kunci tersebut akan menjadi tidak dapat diakses oleh semua orang (termasuk Microsoft, admin global, dan pengguna super) kecuali Anda memiliki cadangan kunci yang dapat Anda pulihkan. Setelah mencabut kunci, Anda tidak akan dapat melindungi konten baru hingga Anda membuat dan mengonfigurasi kunci penyewa baru untuk Perlindungan Informasi Azure.

Untuk mencabut kunci penyewa yang dikelola pelanggan Anda, di Azure Key Vault, ubah izin pada brankas kunci yang berisi kunci penyewa Perlindungan Informasi Azure Anda sehingga layanan Azure Rights Management tidak dapat lagi mengakses kunci. Tindakan ini secara efektif mencabut kunci penyewa untuk Perlindungan Informasi Azure.

Saat Anda membatalkan langganan untuk Perlindungan Informasi Azure, Perlindungan Informasi Azure berhenti menggunakan kunci penyewa Anda dan tidak ada tindakan yang diperlukan dari Anda.

Kunci kunci penyewa Anda

Kunci ulang juga dikenal sebagai menggulung kunci Anda. Saat Anda melakukan operasi ini, Perlindungan Informasi Azure berhenti menggunakan kunci penyewa yang ada untuk melindungi dokumen dan email, dan mulai menggunakan kunci yang berbeda. Kebijakan dan templat segera dimundurkan tetapi perubahan ini bertahap untuk klien dan layanan yang ada menggunakan Perlindungan Informasi Azure. Jadi untuk beberapa waktu, beberapa konten baru terus dilindungi dengan kunci penyewa lama.

Untuk melakukan rekey, Anda harus mengonfigurasi objek kunci penyewa dan menentukan kunci alternatif yang akan digunakan. Kemudian, kunci yang digunakan sebelumnya secara otomatis ditandai sebagai diarsipkan untuk Perlindungan Informasi Azure. Konfigurasi ini memastikan bahwa konten yang dilindungi dengan menggunakan kunci ini tetap dapat diakses.

Contoh kapan Anda mungkin perlu melakukan rekey untuk Perlindungan Informasi Azure:

• Perusahaan Anda telah dibagi menjadi dua perusahaan atau lebih. Saat Anda memberi kunci penyewa, perusahaan baru tidak akan memiliki akses ke konten baru yang diterbitkan karyawan Anda. Mereka dapat mengakses konten lama jika mereka memiliki salinan kunci penyewa lama.

• Anda ingin berpindah dari satu topologi manajemen kunci ke topologi lainnya.

• Anda yakin salinan master kunci penyewa Anda (salinan yang Anda miliki) disusupi.

Untuk kunci kunci lain yang Anda kelola, Anda dapat membuat kunci baru di Azure Key Vault atau menggunakan kunci lain yang sudah ada di Azure Key Vault. Kemudian ikuti prosedur yang sama dengan yang Anda lakukan untuk menerapkan BYOK untuk Perlindungan Informasi Azure.

1. Hanya jika kunci baru berada di brankas kunci yang berbeda dengan yang sudah Anda gunakan untuk Perlindungan Informasi Azure: Otorisasi Perlindungan Informasi Azure untuk menggunakan brankas kunci, dengan menggunakan cmdlet Set-AzKeyVaultAccessPolicy .

2. Jika Perlindungan Informasi Azure belum mengetahui tentang kunci yang ingin Anda gunakan, jalankan cmdlet Use-AipServiceKeyVaultKey .

3. Konfigurasikan objek kunci penyewa, dengan menggunakan cmdlet jalankan Set-AipServiceKeyProperties .

Untuk informasi selengkapnya tentang masing-masing langkah ini:

• Untuk kunci lain yang Anda kelola, lihat Merencanakan dan mengimplementasikan kunci penyewa Perlindungan Informasi Azure Anda.

  Jika Anda memasukkan ulang kunci yang dilindungi HSM yang Anda buat secara lokal dan mentransfer ke Key Vault, Anda dapat menggunakan dunia keamanan dan kartu akses yang sama seperti yang Anda gunakan untuk kunci Anda saat ini.

• Untuk kunci ulang, mengubah ke kunci yang dikelola Microsoft untuk Anda, lihat bagian Kunci kunci penyewa Anda untuk operasi yang dikelola Microsoft.

Cadangkan dan pulihkan kunci penyewa Anda

Karena Anda mengelola kunci penyewa, Anda bertanggung jawab untuk mencadangkan kunci yang digunakan Perlindungan Informasi Azure.

Jika Anda membuat kunci penyewa di tempat, dalam HSM nCipher: Untuk mencadangkan kunci, cadangkan file kunci yang ditokenisasi, file dunia, dan kartu administrator. Saat Anda mentransfer kunci Anda ke Azure Key Vault, layanan menyimpan file kunci yang ditokenisasi, untuk melindungi dari kegagalan node layanan apa pun. File ini terikat ke dunia keamanan untuk wilayah atau instans Azure tertentu. Namun, jangan anggap file kunci yang ditokenisasi ini sebagai cadangan penuh. Misalnya, jika Anda memerlukan salinan teks biasa kunci Anda untuk digunakan di luar HSM nCipher, Azure Key Vault tidak dapat mengambilnya untuk Anda, karena hanya memiliki salinan yang tidak dapat dipulihkan.

Azure Key Vault memiliki cmdlet cadangan yang dapat Anda gunakan untuk mencadangkan kunci dengan mengunduhnya dan menyimpannya dalam file. Karena konten yang diunduh dienkripsi, konten tidak dapat digunakan di luar Azure Key Vault.

Mengekspor kunci penyewa Anda

Jika Anda menggunakan BYOK, Anda tidak dapat mengekspor kunci penyewa dari Azure Key Vault atau Perlindungan Informasi Azure. Salinan di Azure Key Vault tidak dapat dipulihkan.

Menanggapi pelanggaran

Tidak ada sistem keamanan, tidak peduli seberapa kuat, selesai tanpa proses respons pelanggaran. Kunci penyewa Anda mungkin disusupi atau dicuri. Bahkan ketika dilindungi dengan baik, kerentanan mungkin ditemukan dalam teknologi kunci generasi saat ini atau dalam panjang dan algoritma kunci saat ini.

Microsoft memiliki tim khusus untuk menanggapi insiden keamanan dalam produk dan layanannya. Segera setelah ada laporan kredibel dari suatu insiden, tim ini terlibat untuk menyelidiki cakupan, akar penyebab, dan mitigasi. Jika insiden ini memengaruhi aset Anda, Microsoft akan memberi tahu administrator Global penyewa Anda melalui email.

Jika Anda memiliki pelanggaran, tindakan terbaik yang dapat Anda atau Microsoft ambil tergantung pada cakupan pelanggaran; Microsoft akan bekerja sama dengan Anda melalui proses ini. Tabel berikut menunjukkan beberapa situasi umum dan kemungkinan respons, meskipun respons yang tepat tergantung pada semua informasi yang terungkap selama penyelidikan.

Deskripsi insiden	Kemungkinan respons
Kunci penyewa Anda bocor.	Kunci penyewa Anda. Lihat Kunci kunci penyewa Anda.
Individu atau malware yang tidak sah mendapat hak untuk menggunakan kunci penyewa Anda tetapi kunci itu sendiri tidak bocor.	Kunci penyewa Anda tidak membantu di sini dan memerlukan analisis akar penyebab. Jika proses atau bug perangkat lunak bertanggung jawab atas individu yang tidak sah untuk mendapatkan akses, situasi tersebut harus diselesaikan.
Kerentanan ditemukan dalam teknologi HSM generasi saat ini.	Microsoft harus memperbarui HSM. Jika ada alasan untuk percaya bahwa kunci yang diekspos kerentanan, Microsoft akan menginstruksikan semua pelanggan untuk mengulang kunci penyewa mereka.
Kerentanan yang ditemukan dalam algoritma RSA, atau panjang kunci, atau serangan brute-force menjadi layak secara komputasi.	Microsoft harus memperbarui Azure Key Vault atau Perlindungan Informasi Azure untuk mendukung algoritma baru dan panjang kunci yang lebih panjang yang tangguh, dan menginstruksikan semua pelanggan untuk mengulang kunci penyewa mereka.