客戶管理:租用戶金鑰生命週期作業

注意

您要尋找先前Microsoft 資訊保護 (MIP) Microsoft Purview 資訊保護嗎?

Azure 資訊保護統一標籤用戶端現在處於維護模式。 建議您使用內建在Office 365應用程式和服務的標籤。 瞭解更多資訊

如果您自行管理 Azure 資訊保護租用戶金鑰 (攜帶您自己的金鑰 (BYOK) 情節),請參閱下列各節,以了解與此拓撲相關的生命週期作業詳細資訊。

撤銷租用戶金鑰

在某些情況下,您可能需要撤銷金鑰,而不是重設金鑰。 當您撤銷金鑰時,使用該金鑰的租使用者所保護的所有內容,將會變成無法存取 (包括 Microsoft、全域管理員和進階使用者的所有內容) ,除非您擁有可還原的金鑰備份。 撤銷金鑰之後,在建立及設定 Azure 資訊保護的新租使用者金鑰之前,您將無法保護新的內容。

若要撤銷客戶管理的租使用者金鑰,請在 Azure 金鑰保存庫 中變更包含 Azure 資訊保護租使用者金鑰的金鑰保存庫許可權,讓 Azure Rights Management 服務無法再存取金鑰。 此動作有效地撤銷 Azure 資訊保護的租使用者金鑰。

當您取消 Azure Information Protection 訂用帳戶時,Azure Information Protection 即會停止使用您的租用戶金鑰,您不必採取任何動作。

重設租用戶金鑰

重設金鑰又稱為輪換金鑰。 當您執行這項作業時,Azure 資訊保護會停止使用現有租用戶金鑰來保護文件和電子郵件,並開始使用不同的金鑰。 原則和範本會立刻放棄,但會對使用 Azure 資訊保護的現有用戶端及服務採取漸進式轉換。 因此,有些新內容會繼續以舊的租用戶金鑰保護一段時間。

若要重設金鑰,您必須設定租用戶金鑰目標,並指定要使用的替代金鑰。 然後,先前使用的金鑰都會為 Azure 資訊保護自動標記為封存。 此設定可確保使用此金鑰所保護的內容仍可存取。

可能會需要重設 Azure 資訊保護金鑰的例子如下:

  • 您的公司分拆成兩家以上的公司。 當您重設租用戶金鑰時,新公司將無法存取您的員工所發佈的新內容。 只要他們有一份舊的租用戶金鑰,就可以存取舊的內容。

  • 您想要從某個金鑰管理拓撲移至另一個金鑰管理拓撲。

  • 您認為租用戶金鑰的主複本 (您擁有的複本) 遭洩漏。

若要重設為您管理的另一個金鑰,您可以在 Azure Key Vault 中建立新的金鑰,也可以使用已在 Azure Key Vault 中的不同金鑰。 然後遵循您為 Azure 資訊保護實作 BYOK 的相同程序。

  1. 只有當新金鑰位於您已用於 Azure 資訊保護的不同金鑰保存庫中時:使用Set-AzKeyVaultAccessPolicy Cmdlet 授權 Azure 資訊保護使用金鑰保存庫。

  2. 如果 Azure 資訊保護還不知道您要使用的金鑰,請執行Use-AipServiceKeyVaultKey Cmdlet。

  3. 使用執行 Set-AipServiceKeyProperties Cmdlet 來設定租使用者金鑰組象。

如需所有這些步驟的詳細資訊:

  • 若要將金鑰重設為您管理的另一個金鑰,請參閱規劃及實作 Azure 資訊保護租使用者金鑰

    若您為您在內部部署環境建立並傳輸到 Key Vault 的 HSM 保護金鑰進行重設金鑰,您可以使用與您為目前金鑰使用之安全性環境與存取卡片相同的安全性環境與存取卡片。

  • 若要重設金鑰,以變更為 Microsoft 為您管理的金鑰,請參閱針對受 Microsoft 管理作業的重設租用戶金鑰一節。

備份和復原租用戶金鑰

因為您要管理租用戶金鑰,所以您負責備份 Azure 資訊保護所使用的金鑰。

如果您在內部部署產生租使用者金鑰,請在 nCipher HSM 中:若要備份金鑰,請備份權杖化金鑰檔案、世界檔案和系統管理員卡片。 將您的金鑰傳輸至 Azure Key Vault 時,此服務會儲存 Token 化金鑰檔案,以防止任何服務節點失敗。 這個檔案會繫結至特定 Azure 區域或執行個體的安全範圍。 然而,這份權杖化的金鑰檔案並不算是完整備份。 例如,如果您需要在 nCipher HSM 外部使用金鑰的純文字複本,Azure 金鑰保存庫就無法為您擷取它,因為它只有無法復原的複本。

Azure Key Vault 的備份 Cmdlet 可用來備份金鑰,方法是下載並將其儲存至檔案中。 因為下載的內容已加密,所以無法在 Azure Key Vault 外部使用它。

匯出租用戶金鑰

如果您使用 BYOK,您無法從 Azure Information Protection 上的 Azure 金鑰保存庫匯出租用戶金鑰。 Azure 金鑰保存庫中是無法復原的複本。

漏洞應變

安全性系統不論多麼堅固,不可能完美到沒有任何漏洞應變程序。 租用戶金鑰可能已外洩或遭竊。 即使受到嚴密保護,最新一代的金鑰技術或目前的金鑰長度和演算法仍可能有弱點。

Microsoft 有專屬團隊負責對產品與服務中的安全性事件做出應變。 每當有可靠的報告指出有事件發生,此團隊就會立即介入來調查範圍、根本原因及防護措施。 如果此事件會影響您的資產,Microsoft 會透過電子郵件通知您的租使用者全域管理員。

如果發生漏洞,您或 Microsoft 可採取的最佳行動取決於漏洞的範圍;Microsoft 會與您一起完成此過程。 下表顯示一些常見的情況和可能的反應,但確切的反應取決於調查期間揭露的所有資訊。

事件描述 可能的反應
租用戶金鑰外洩。 重設租用戶金鑰。 請參閱 重設租使用者金鑰的金鑰
未獲授權的人或惡意程式碼可能取得權限來使用您的租用戶金鑰,但金鑰本身並未外洩。 重設租用戶金鑰在此無濟於事,必須分析根本原因。 如果是程序或軟體的錯誤導致未獲授權的人取得存取權,則必須解決這種情況。
最新一代 HSM 技術中發現的弱點。 Microsoft 必須更新 HSM。 如果確信弱點已暴露金鑰,Microsoft 會指示所有客戶重設其租用戶金鑰。
經由運算可找出 RSA 演算法、金鑰長度或暴力密碼破解攻擊的弱點。 Microsoft 必須更新 Azure Key Vault 或 Azure 資訊保護,以支援更彈性的新演算法和更長的金鑰長度,並指示所有客戶重設其租用戶金鑰。