客戶管理：租使用者金鑰生命周期作業

注意

您要尋找 Microsoft Purview 資訊保護，前身為 Microsoft 資訊保護 （MIP）嗎？

Azure 資訊保護 載入宏已淘汰，並以 Microsoft 365 應用程式和服務內建的標籤取代。 深入瞭解其他 Azure 資訊保護元件的支持狀態。

Microsoft Purview 資訊保護 用戶端（不含載入宏）已正式推出。

如果您管理 Azure 租使用者金鑰 資訊保護（自備密鑰或 BYOK，案例），請使用下列各節來取得與此拓撲相關的生命週期作業詳細資訊。

撤銷您的租用戶金鑰

當您可能需要撤銷金鑰而不是重設金鑰時，很少的情況。 當您撤銷金鑰時，除非您擁有可還原金鑰的金鑰備份，否則使用該金鑰的租使用者所保護的所有內容（包括 Microsoft、您的全域管理員和進階使用者）都將無法存取。 撤銷金鑰之後，您必須先為 Azure 資訊保護 建立並設定新的租使用者金鑰，才能保護新的內容。

若要撤銷客戶管理的租使用者密鑰，請在 Azure 金鑰保存庫 中變更密鑰保存庫上包含 Azure 資訊保護 租使用者密鑰的許可權，讓 Azure Rights Management 服務無法再存取密鑰。 此動作可有效地撤銷 Azure 資訊保護 的租使用者密鑰。

當您取消 Azure 資訊保護 的訂用帳戶時，Azure 資訊保護 會停止使用您的租使用者密鑰，而且不需要您採取任何動作。

重設租使用者金鑰金鑰

重設金鑰也稱為輪替密鑰。 當您執行這項作業時，Azure 資訊保護 會停止使用現有的租使用者密鑰來保護檔和電子郵件，並開始使用不同的金鑰。 原則和範本會立即重新簽署，但對於使用 Azure 資訊保護 的現有客戶端和服務，此變更是漸進式的。 因此，一段時間后，一些新內容會繼續受到舊租使用者密鑰的保護。

若要重設金鑰，您必須設定租用戶密鑰物件，並指定要使用的替代密鑰。 然後，先前使用的金鑰會自動標示為封存給 Azure 資訊保護。 此組態可確保使用此金鑰保護的內容仍可供存取。

您可能需要為 Azure 資訊保護 重設金鑰的範例：

• 您的公司已分成兩家以上的公司。 當您重設租使用者密鑰時，新公司將無法存取員工發佈的新內容。 如果他們有舊租使用者密鑰的複本，他們可以存取舊的內容。

• 您想要從一個金鑰管理拓撲移至另一個金鑰管理拓撲。

• 您認為租使用者金鑰的主要複本（您擁有的複本）遭到入侵。

若要重新設定您管理的另一個金鑰，您可以在 Azure 金鑰保存庫 中建立新的金鑰，或使用已在 Azure 金鑰保存庫 中的不同金鑰。 然後遵循您為 Azure 資訊保護 實作 BYOK 的相同程式。

1. 只有當新金鑰位於與您已經用於 Azure 資訊保護 之金鑰保存庫不同的金鑰保存庫中：使用 Set-AzKeyVaultAccessPolicy Cmdlet 授權 Azure 資訊保護 使用金鑰保存庫。

2. 如果 Azure 資訊保護 尚未知道您想要使用的金鑰，請執行 Use-AipServiceKeyVaultKey Cmdlet。

3. 使用執行 Set-AipServiceKeyProperties Cmdlet 來設定租使用者 密鑰物件。

如需這些步驟的詳細資訊：

• 若要重新設定您管理的另一個密鑰，請參閱規劃和實作 Azure 資訊保護 租使用者金鑰。

  如果您要重設金鑰保護的 HSM 保護金鑰，而該金鑰會建立內部部署並傳輸至 金鑰保存庫，您可以使用與目前金鑰所使用的相同安全性世界和存取卡。

• 若要重設密鑰，請變更為 Microsoft 為您管理的密鑰，請參閱 Microsoft 管理的作業重設租使用者密鑰 一節。

備份和復原您的租用戶金鑰

因為您正在管理租使用者密鑰，因此您必須負責備份 Azure 資訊保護 所使用的金鑰。

如果您在內部部署環境中產生租使用者密鑰，請在 nCipher HSM 中：若要備份密鑰，請備份令牌化密鑰檔案、世界檔案和系統管理員卡片。 當您將金鑰傳輸至 Azure 金鑰保存庫 時，服務會儲存令牌化金鑰檔案，以防止任何服務節點失敗。 此檔案會系結至特定 Azure 區域或實例的安全性世界。 不過，請勿將此令牌化密鑰檔案視為完整備份。 例如，如果您需要金鑰的純文字復本才能在 nCipher HSM 外部使用，Azure 金鑰保存庫 便無法為您擷取，因為它只有無法復原的複本。

Azure 金鑰保存庫 有備份 Cmdlet，您可以藉由下載密鑰並將其儲存在檔案中，來用來備份密鑰。 由於下載的內容已加密，因此無法在 Azure 金鑰保存庫 外部使用。

匯出您的租用戶金鑰

如果您使用 BYOK，則無法從 Azure 金鑰保存庫 或 Azure 資訊保護 導出租使用者密鑰。 Azure 金鑰保存庫 中的複本無法復原。

回應缺口

無論安全性系統有多強大，都沒有缺口回應程式即可完成。 您的租用戶金鑰可能會遭到入侵或遭竊。 即使受到妥善保護，目前世代密鑰技術或目前密鑰長度和演算法可能會發現弱點。

Microsoft 有一個專門小組來回應其產品和服務中的安全性事件。 一旦有一個可信的事件報告，此小組就會參與調查範圍、根本原因和風險降低。 如果此事件影響您的資產，Microsoft 會透過電子郵件通知您的租使用者全域管理員。

如果您有缺口，您或 Microsoft 可以採取的最佳動作取決於缺口的範圍;Microsoft 會透過此程式與您合作。 下表顯示一些典型情況和可能的反應，雖然確切的回應取決於調查期間顯示的所有資訊。

事件描述	可能回應
您的租用戶金鑰會外洩。	重設租用戶金鑰。 請參閱 重設租使用者金鑰金鑰。
未經授權的個人或惡意代碼有權使用您的租使用者密鑰，但密鑰本身並未洩漏。	重設租使用者密鑰並無濟於事，而且需要根本原因分析。 如果進程或軟體錯誤負責未經授權的個人取得存取權，則必須解決這種情況。
在目前世代 HSM 技術中發現的弱點。	Microsoft 必須更新 HSM。 如果有理由認為弱點公開密鑰，Microsoft 會指示所有客戶重設其租使用者密鑰。
RSA 演算法或金鑰長度或暴力密碼破解攻擊中發現的弱點會變成計算上可行的。	Microsoft 必須更新 Azure 金鑰保存庫 或 Azure 資訊保護，以支援具有復原性的新演算法和較長密鑰長度，並指示所有客戶重設租使用者密鑰。