Crea la tua chiave per la chiave radice del servizio Azure Rights Management

Descrizione del servizio Microsoft Purview

Usare le informazioni di questo articolo se si è deciso di configurare il tenant per l'uso della propria chiave radice per il servizio Azure Rights Management, anziché di una chiave predefinita generata da Microsoft. Questa configurazione viene spesso definita BYOK (Bring Your Own Key).

Per ulteriori informazioni sulle opzioni della chiave radice, vedere Tipi di chiave per il servizio.

BYOK e la registrazione dell'utilizzo funzionano perfettamente con le applicazioni integrate con il servizio Azure Rights Management usato da Microsoft Purview Information Protection.

Le applicazioni supportate includono:

• Servizi cloud, come Microsoft SharePoint o Microsoft 365

• Servizi locali che eseguono applicazioni Exchange e SharePoint che usano il servizio Azure Rights Management con il connettore Rights Management

• Applicazioni client, come Office 2024 e Office 2021.

Azure Key Vault archiviazione delle chiavi

Le chiavi generate dal cliente devono essere archiviate nel Azure Key Vault per BYOK.

Condivisione di insiemi di credenziali delle chiavi e sottoscrizioni

È consigliabile usare un insieme di credenziali delle chiavi dedicato per la chiave del tenant di Azure Rights Management. Gli insiemi di credenziali delle chiavi dedicati consentono di garantire che le chiamate da parte di altri servizi non causino il superamento dei limiti di servizio . Il superamento dei limiti di servizio nell'insieme di credenziali delle chiavi in cui è archiviata la chiave del tenant può causare la limitazione dei tempi di risposta per il servizio Azure Rights Management.

Poiché servizi diversi hanno requisiti di gestione delle chiavi diversi, Microsoft consiglia anche di usare una sottoscrizione di Azure dedicata per l'insieme di credenziali delle chiavi per i motivi seguenti:

• Proteggiti da configurazioni errate

• Più sicuro quando servizi diversi hanno amministratori diversi

Per condividere un abbonamento Azure con altri servizi che usano Azure Key Vault, è necessario assicurarsi che l'abbonamento condivida un gruppo comune di amministratori. Verificare che tutti gli amministratori che usano l'abbonamento abbiano una conoscenza approfondita di ogni chiave che possono gestire. Gli amministratori con questo livello di conoscenza hanno meno probabilità di configurare in modo errato le chiavi.

Esempio: usare una sottoscrizione di Azure condivisa quando gli amministratori della chiave tenant di Azure Rights Management sono le stesse persone che amministrano le chiavi per Microsoft Purview Customer Key e Dynamics 365 Online. Se gli amministratori chiave per questi servizi sono diversi, è consigliabile usare abbonamenti dedicati.

Vantaggi dell'utilizzo di Azure Key Vault

Azure Key Vault fornisce una soluzione di gestione delle chiavi centralizzata e coerente per molti servizi basati sul cloud e locali che usano la crittografia.

Oltre a gestire le chiavi, Azure Key Vault offre agli amministratori di sicurezza la stessa esperienza di gestione per archiviare, accedere e gestire certificati e segreti (ad esempio le password) per altri servizi e applicazioni che usano la crittografia.

L'archiviazione della chiave del tenant nel Azure Key Vault offre i vantaggi seguenti:

Per gli ultimi aggiornamenti e per informazioni sull'uso di Azure Key Vault da parte di altri servizi, visita il blog del team di Azure Key Vault.

Registrazione dell'utilizzo per BYOK

I log di utilizzo vengono generati da ogni applicazione che effettua richieste al servizio Azure Rights Management.

Anche se la registrazione dell'utilizzo è facoltativa, è consigliabile usare i log di utilizzo quasi in tempo reale per il servizio Azure Rights Management per vedere esattamente come e quando viene usata la chiave del tenant di Azure Rights Management.

Per altre informazioni sulla registrazione dell'utilizzo delle chiavi per BYOK, vedere Registrazione dell'utilizzo per il servizio Azure Rights Management.

Opzioni per la creazione e l'archiviazione della chiave

BYOK supporta le chiavi create in Azure Key Vault o in locale.

Se si crea la chiave in locale, è necessario trasferirla o importarla nell'insieme di credenziali delle chiavi e configurare il servizio Azure Rights Management per l'uso della chiave. Eseguire qualsiasi altra gestione delle chiavi dall'interno Azure Key Vault.

Opzioni per creare e archiviare una chiave personalizzata:

• Creato in locale. Creare la chiave locale e trasferirla in Azure Key Vault usando una delle opzioni seguenti:

  • Chiave protetta da HSM, trasferita come chiave protetta da HSM. Il metodo più tipico scelto.

    Anche se questo metodo prevede il maggior sovraccarico amministrativo, potrebbe essere necessario che l'organizzazione segua normative specifiche. I moduli di protezione hardware usati da Azure Key Vault hanno la convalida FIPS 140.

  • Chiave protetta dal software che viene convertita e trasferita a Azure Key Vault come chiave protetta dal modulo di protezione hardware. Questo metodo è supportato solo durante la migrazione da Active Directory Rights Management Services (AD RMS).

  • Creata in locale come chiave protetta da software e trasferita a Azure Key Vault come chiave protetta da software. Questo metodo richiede un . File di certificato PFX.

Ad esempio, eseguire le operazioni seguenti per usare una chiave creata in locale:

1. Genera la chiave del tenant in locale, in linea con i criteri IT e di sicurezza dell'organizzazione. Questa chiave è la copia master. Rimane locale e il responsabile del backup è dell'utente.

2. Creare una copia della chiave master e trasferirla in modo sicuro dal modulo di protezione hardware a Azure Key Vault. Durante questo processo, la copia master della chiave non lascia mai il limite della protezione hardware.

Una volta trasferita, la copia della chiave è protetta da Azure Key Vault.

• Creato nel Azure Key Vault. Creare e archiviare la chiave in Azure Key Vault come chiave protetta dal modulo di protezione hardware o come chiave protetta dal software.

  Avviso

  Le chiavi generate direttamente in Azure Key Vault non possono essere esportate per l'uso all'esterno di Azure Key Vault. La maggior parte delle organizzazioni che usano BYOK ha requisiti di conformità che impongono di mantenere la propria copia della chiave al di fuori di Azure Key Vault. Non creare la chiave direttamente in Azure Key Vault. Al contrario, creare la chiave in locale e trasferirla in Azure Key Vault.

  Se l'organizzazione richiede che le chiavi siano esportabili e in tuo possesso, devi creare la chiave locale e importarla per Azure Key Vault e mantenere i tuoi backup della chiave in locale. La pianificazione e i test del ripristino di emergenza dovrebbero includere misure per testare regolarmente il ripristino di queste chiavi. È possibile eseguire il backup delle chiavi da Azure Key Vault ma possono essere importate solo nella sottoscrizione originale.

Esportazione del dominio di pubblicazione trusted

Se si decide di interrompere l'uso del servizio Azure Rights Management, è necessario un dominio di pubblicazione trusted (TPD) per decrittografare il contenuto crittografato dal servizio Azure Rights Management.

Tuttavia, l'esportazione del TPD non è supportata se si usa BYOK per la chiave del tenant di Azure Rights Management.

Per prepararsi a questo scenario, assicurarsi di creare in anticipo un TPD adatto. Per altre informazioni, vedere Come preparare un piano Azure Information Protection "Cloud Exit".

Implementazione di BYOK per la chiave tenant di Azure Rights Management

Per implementare il BYOK, procedere come segue:

1. Rivedere i prerequisiti BYOK
2. Scegliere una posizione dell'insieme di credenziali delle chiavi
3. Creare e configurare la chiave

Prerequisiti per BYOK

I prerequisiti BYOK variano a seconda della configurazione del sistema. Verificare che il sistema soddisfi i prerequisiti seguenti in base alle esigenze:

Verificare di avere una sottoscrizione di Azure compatibile con BYOK

Il tenant di Azure Rights Management deve avere una sottoscrizione di Azure. Se non ne hai ancora uno, puoi iscriverti per un account gratuito. Tuttavia, per usare una chiave protetta da HSM, è necessario disporre del livello di servizio Azure Key Vault Premium.

L'abbonamento Azure gratuito che fornisce l'accesso a Microsoft Entra configurazione non è sufficiente per l'utilizzo di Azure Key Vault.

Per verificare se si dispone di una sottoscrizione di Azure compatibile con BYOK, eseguire le operazioni seguenti, usando i cmdlet di Azure PowerShell:

1. Avviare una sessione di Azure PowerShell come amministratore.

2. Esegui Connect-AzAccount e accedi con un ruolo che può accedere alle risorse in Azure Key Vault.

3. Eseguire Get-AzSubscription per verificare che vengano visualizzati i valori seguenti:

   • Nome e ID dell'abbonamento
   • ID tenant per il servizio Azure Rights Management
   • Conferma che lo stato è abilitato

   Se non viene visualizzato alcun valore e viene visualizzato nuovamente il prompt, non si dispone di una sottoscrizione di Azure che può essere usata per BYOK.

4. Verificare di poter usare il livello Azure Key Vault Premium, necessario per le chiavi protette da HSM. Se si ha un insieme di credenziali delle chiavi esistente, eseguire il comando seguente per controllarne lo SKU:

   Get-AzKeyVault -VaultName "YourVaultName" | Select-Object VaultName, Sku
   

   Il valore SKU deve essere Premium per le chiavi protette dal modulo di protezione hardware. Se si crea un nuovo insieme di credenziali delle chiavi, assicurarsi di selezionare il livello Premium durante la creazione. Per informazioni sui prezzi, vedere Azure Key Vault prezzi.

Scelta del percorso dell'insieme di credenziali delle chiavi

Quando si crea un insieme di credenziali delle chiavi che contiene la chiave da usare come chiave del tenant per il servizio Azure Rights Management, è necessario specificare un percorso. Questa posizione è un'area Azure o un'istanza Azure.

Effettua la tua scelta prima per la conformità e quindi per ridurre al minimo la latenza di rete:

• Se hai scelto il metodo della chiave BYOK per motivi di conformità, tali requisiti di conformità potrebbero anche imporre quale area o istanza di Azure può essere usata per archiviare la chiave del tenant di Azure Rights Management.

• Tutte le chiamate crittografiche per la catena di protezione alla chiave di Azure Rights Management. Pertanto, è consigliabile ridurre al minimo la latenza di rete richiesta da queste chiamate creando l'insieme di credenziali delle chiavi nella stessa area o istanza di Azure del tenant di Azure Rights Management.

Per identificare il percorso del tenant che usa il servizio Azure Rights Management, usare il cmdlet Get-AipServiceConfiguration di PowerShell e identificare l'area dagli URL. Ad esempio:

LicensingIntranetDistributionPointUrl : https://5c6bb73b-1038-4eec-863d-49bded473437.rms.na.aadrm.com/_wmcs/licensing

L'area è identificabile da rms.na.aadrm.com e in questo esempio si trova in America del Nord.

Nella tabella seguente sono elencate le aree e le istanze di Azure consigliate per ridurre al minimo la latenza di rete:

Creare e configurare la chiave

Crea un Azure Key Vault e la chiave da usare per il servizio Azure Rights Management. Per altre informazioni, vedere la documentazione Azure Key Vault.

Per la configurazione del Azure Key Vault e della chiave per BYOK, tenere presente quanto segue:

• Requisiti di lunghezza chiave
• Creazione di una chiave protetta da HSM in locale e trasferimento all'insieme di credenziali delle chiavi
• Configurazione del servizio Azure Rights Management per l'ID chiave
• Autorizzazione del servizio Azure Rights Management per l'uso della chiave

Requisiti di lunghezza chiave

Quando crei la chiave, assicurati che la lunghezza della chiave sia 2048 bit. Altre lunghezze di chiave non sono supportate dal servizio Azure Rights Management.

Creazione di una chiave protetta da HSM in locale e trasferimento all'insieme di credenziali delle chiavi

Per creare una chiave protetta dal modulo di protezione hardware locale e trasferirla nell'insieme di credenziali delle chiavi come chiave protetta dal modulo di protezione hardware, seguire le procedure riportate nella documentazione di Azure Key Vault: Come generare e trasferire chiavi protette dal modulo di protezione hardware per Azure Key Vault.

Affinché il servizio Azure Rights Management possa usare la chiave trasferita, per la chiave devono essere consentite le operazioni di Key Vault seguenti:

• Ottieni
• decrittografare
• segno

Per controllare le operazioni consentite per una chiave specifica, eseguire il comando di PowerShell seguente:

(Get-AzKeyVaultKey -VaultName <key vault name> -Name <key name>).Attributes.KeyOps

Configurazione del servizio Azure Rights Management per l'ID chiave

Le chiavi archiviate nel Azure Key Vault hanno ognuna un ID chiave.

L'ID chiave è un URL che contiene il nome dell'insieme di credenziali delle chiavi, il contenitore di chiavi, il nome della chiave e la versione della chiave. Ad esempio: https://contosorms-kv.vault.azure.net/keys/contosorms-byok/aaaabbbbcccc111122223333

Configurare il servizio Azure Rights Management per l'uso della chiave specificando l'URL dell'insieme di credenziali delle chiavi.

Autorizzazione del servizio Azure Rights Management per l'uso della chiave

Il servizio Azure Rights Management deve essere autorizzato per usare la chiave tramite il controllo degli accessi in base al ruolo di Azure. A questo scopo, è necessario creare un ruolo personalizzato con le autorizzazioni necessarie e assegnarlo all'entità servizio Rights Management.

Abilitazione dell'autorizzazione della chiave tramite l'interfaccia della riga di comando di Azure

1. Accedere all'interfaccia della riga di comando di Azure e ottenere l'ID sottoscrizione dell'insieme di credenziali delle chiavi:

   az login
   az keyvault show --name <vault-name> --resource-group <resource-group-name> --query "id" -o tsv
   

   L'output contiene l'ID sottoscrizione nel formato: /subscriptions/<subscription-id>/resourceGroups/...

2. Crea un file JSON denominato PurviewRMSCustomAKVRole.json con il contenuto seguente, sostituendolo <subscription-id> con l'ID sottoscrizione del passaggio precedente:

   {
     "Name": "Purview Rights Management key vault Encryption User",
     "IsCustom": true,
     "Description": "Grants access to use key vault keys for the Purview Rights Management service.",
     "Actions": [],
     "NotActions": [],
     "DataActions": [
       "Microsoft.KeyVault/vaults/keys/read",
       "Microsoft.KeyVault/vaults/keys/sign/action",
       "Microsoft.KeyVault/vaults/keys/decrypt/action"
     ],
     "NotDataActions": [],
     "AssignableScopes": [
       "/subscriptions/<subscription-id>"
     ]
   }
   

3. Creare la definizione di ruolo personalizzata, modificando il percorso del file di definizione del ruolo, se necessario:

   az role definition create --role-definition "./PurviewRMSCustomAKVRole.json"
   

   Nota

   Eseguite questo comando dalla directory in cui avete salvato PurviewRMSCustomAKVRole.jsono sostituitelo ./PurviewRMSCustomAKVRole.json con il percorso completo del file.

4. Ottenere l'ID risorsa dell'insieme di credenziali delle chiavi e assegnare il ruolo all'entità servizio Rights Management con un unico comando:

   az role assignment create --role "Purview Rights Management key vault Encryption User" --assignee "00000012-0000-0000-c000-000000000000" --scope $(az keyvault show --name <vault-name> --resource-group <resource-group-name> --query "id" -o tsv)
   

Abilitazione dell'autorizzazione della chiave tramite Azure PowerShell

1. Accedere ad Azure PowerShell e ottenere l'ID sottoscrizione dell'insieme di credenziali delle chiavi:

   Connect-AzAccount
   
   # Define your key vault and resource group names
   $vaultName = "<vault-name>"
   $resourceGroupName = "<resource-group-name>"
   
   # Get the key vault resource ID and subscription ID
   $keyVault = Get-AzKeyVault -VaultName $vaultName -ResourceGroupName $resourceGroupName
   $resourceId = $keyVault.ResourceId
   $subscriptionId = ($resourceId -split "/")[2]
   
   # Create the custom role definition JSON file
   $jsonRoleDefinition = @"
   {
     "Name": "Purview Rights Management key vault Encryption User",
     "IsCustom": true,
     "Description": "Grants access to use key vault keys for the Purview Rights Management service.",
     "Actions": [],
     "NotActions": [],
     "DataActions": [
       "Microsoft.KeyVault/vaults/keys/read",
       "Microsoft.KeyVault/vaults/keys/sign/action",
       "Microsoft.KeyVault/vaults/keys/decrypt/action"
     ],
     "NotDataActions": [],
     "AssignableScopes": [
       "/subscriptions/$($subscriptionId)"
     ]
   }
   "@
   
   $jsonRoleDefinition | Out-File -FilePath "./PurviewRMSCustomAKVRole.json"
   
   # Create the custom role definition
   New-AzRoleDefinition -InputFile "./PurviewRMSCustomAKVRole.json"
   
   # Assign the role to the Rights Management service principal
   New-AzRoleAssignment -RoleDefinitionName "Purview Rights Management key vault Encryption User" -ServicePrincipalName "00000012-0000-0000-c000-000000000000" -Scope $resourceId
   

Abilitazione dell'autorizzazione della chiave per le chiavi HSM gestite tramite l'interfaccia della riga di comando di Azure

Per concedere all'entità servizio Azure Rights Management le autorizzazioni utente come utente di crittografia HSM gestita, eseguire il comando seguente:

az keyvault role assignment create --hsm-name "ContosoMHSM" --role "Managed HSM Crypto User" --assignee-principal-type ServicePrincipal --assignee https://aadrm.com/ --scope /keys/contosomhskey

Dove:

• ContosoMHSM è un nome di modulo hardware di esempio. Quando si esegue questo comando, sostituire questo valore con il proprio nome HSM.

Il ruolo utente Utente crittografia HSM gestito consente all'utente di decrittografare, firmare e ottenere le autorizzazioni per la chiave, tutte necessarie per la funzionalità HSM gestito.

Configurare il servizio Azure Rights Management per l'uso della chiave

Dopo aver completato i passaggi precedenti, è possibile configurare il servizio Azure Rights Management per l'uso di questa chiave come chiave del tenant dell'organizzazione.

Prima di tutto, copiare l'URL della chiave da Azure Key Vault, inclusa la versione della chiave. È possibile recuperarla dall'interfaccia della riga di comando di Azure o PowerShell:

Interfaccia della riga di comando di Azure:

az keyvault key show --vault-name <vault-name> --name <key-name> --query "key.kid" -o tsv

Azure PowerShell:

(Get-AzKeyVaultKey -VaultName "<vault-name>" -Name "<key-name>").Id

Configurazione di una nuova chiave BYOK

Se si tratta di una nuova chiave, seguire questa procedura per configurare il servizio Azure Rights Management:

1. Installare e importare il modulo di PowerShell AIPService se non è già stato fatto:

   Nota

   Il modulo AIPService viene eseguito su Windows PowerShell 5.1 e su PowerShell 7.4 e versioni successive con la versione del modulo 3.1.0.0 o successiva.

   Install-Module -Name AIPService
   Import-Module -Name AIPService
   

2. Connettersi al servizio Azure Rights Management:

   Connect-AipService
   

3. Eseguire il cmdlet Use-AipServiceKeyVaultKey, specificando l'URL della chiave:

   Use-AipServiceKeyVaultKey -KeyVaultKeyUrl "https://contosorms-kv.vault.azure.net/keys/contosorms-byok/<key-version>"
   

   Importante

   In questo esempio, <key-version> è la versione della chiave che vuoi usare. È necessario specificare la versione della chiave. Se la chiave viene successivamente aggiornata o rinnovata, il servizio Azure Rights Management smetterà di funzionare per il tenant a meno che non si aggiorni la configurazione con la nuova versione della chiave.

4. Elencare le chiavi configurate per il tenant per ottenere l'ID chiave della nuova chiave usando Get-AipServiceKeys. Trovare la chiave con il KeyVaultKeyUrl corrispondente. Copiare il valore KeyIdentifier:

   Get-AipServiceKeys | Select-Object KeyIdentifier, KeyVaultKeyUrl
   

5. Impostare la nuova chiave come chiave del tenant attiva usando il nuovo ID chiave del comando precedente:

   Set-AipServiceKeyProperties -KeyIdentifier <key-id-from-previous-step> -Active $true
   

Il servizio Azure Rights Management è ora configurato per usare la chiave anziché la chiave predefinita creata da Microsoft che è stata creata automaticamente per il tenant.

Migrazione da Azure Key Vault hsmPlatform 1 a hsmPlatform 2

Azure Key Vault hsmPlatform 1 verrà ritirato. Per altre informazioni su questo ritiro, vedere Azure Key Vault annuncio di ritiro di hsmPlatform 1.

Se la chiave del tenant di Azure Rights Management è archiviata in un insieme di credenziali delle chiavi hsmPlatform 1, devi eseguire la migrazione a hsmPlatform 2 per continuare a usare BYOK.

Determinare se la chiave si trova in hsmPlatform 1

Prima di tutto, verifica se la chiave Rights Management esistente si trova su hsmPlatform 1:

Uso dell'interfaccia della riga di comando di Azure:

az keyvault key show --vault-name <vault-name> --name <key-name> --query "attributes.hsmPlatform" -o tsv

Uso di Azure PowerShell:

(Get-AzKeyVaultKey -VaultName "<vault-name>" -Name "<key-name>").Attributes.HsmPlatform

• Se il valore è 1, la chiave si trova in hsmPlatform 1 e richiede la hsmPlatform migrazione.
• Se il hsmPlatform valore è 2 o superiore, la chiave è già in hsmPlatform 2 e non è richiesta alcuna azione.

Passaggi di migrazione per le chiavi in hsmPlatform 1

Se la chiave si trova in hsmPlatform 1, seguire questa procedura per eseguire la migrazione:

Passaggio 1: Individuare il modulo di protezione hardware locale

È necessario avere accesso al modulo di protezione hardware locale usato originariamente per generare il materiale per le chiavi o a un backup di tale chiave che può essere importato in un modulo di protezione hardware compatibile all'interno del limite amministrativo.

Passaggio 2: Reimportare la chiave come nuova versione nell'insieme di credenziali delle chiavi esistente

Non è necessario creare un nuovo insieme di credenziali delle chiavi per questa migrazione. Creare un pacchetto e reimportare lo stesso materiale per le chiavi dal modulo di protezione hardware locale nel Azure Key Vault esistente come nuova versione della chiave. Per istruzioni dettagliate, vedere Come generare e trasferire chiavi protette da HSM per Azure Key Vault.

Passaggio 3: Verificare che la nuova versione della chiave sia in hsmPlatform 2

Al termine dell'importazione, verifica che la nuova versione della chiave segnali hsmPlatform2 prima di aggiornare il servizio Rights Management:

Uso dell'interfaccia della riga di comando di Azure:

az keyvault key show --vault-name <vault-name> --name <key-name> --version <new-key-version> --query "attributes.hsmPlatform" -o tsv

Uso di Azure PowerShell:

(Get-AzKeyVaultKey -VaultName "<vault-name>" -Name "<key-name>" -Version "<new-key-version>").Attributes.HsmPlatform

Il valore restituito deve essere 2. In caso contrario, arrestare e verificare di aver importato il materiale per le chiavi corretto e che l'importazione sia stata completata correttamente.

Passaggio 4: Verificare che le chiavi pubbliche corrispondano

Prima di aggiornare la configurazione del servizio Rights Management, verifica che le chiavi pubbliche corrispondano in tutte le posizioni:

1. Ottenere la chiave pubblica dalla nuova versione della chiave in Azure Key Vault:

   Uso dell'interfaccia della riga di comando di Azure:

   az keyvault key show --vault-name <vault-name> --name <key-name> --version <new-key-version> --query "key.n" -o tsv
   

   Uso di Azure PowerShell:

   Get-AzKeyVaultKey -VaultName "<vault-name>" -Name "<key-name>" -Version "<new-key-version>" | Format-List Key
   

Esaminare il valore n dall'output, che rappresenta il modulo della chiave pubblica.

1. Ottenere la chiave pubblica dal servizio Rights Management:

   Connect-AipService
   Get-AipServiceKeys | Select-Object KeyIdentifier, PublicKey
   

2. Confrontare con la copia del modulo di protezione hardware locale usando gli strumenti del fornitore del modulo di protezione hardware per esportare o visualizzare la chiave pubblica. Se non si riesce a individuare i dettagli della chiave pubblica, contattare il fornitore del modulo di protezione hardware per assistenza. Il supporto tecnico Microsoft non può fornire assistenza per le operazioni specifiche del modulo di protezione hardware.

Tutte e tre le chiavi pubbliche devono corrispondere esattamente. Se non corrispondono, verificare che si stia importando la chiave corretta dal modulo di protezione hardware.

Passaggio 5: Aggiornare il servizio Azure Rights Management per l'uso della nuova versione della chiave

Eseguire Convert-AipServiceKeyToKeyVault per aggiornare l'URL della chiave alla nuova versione della chiave:

Connect-AipService
Convert-AipServiceKeyToKeyVault -KeyIdentifier <existing-key-id> -KeyVaultKeyUrl "https://<vault-name>.vault.azure.net/keys/<key-name>/<new-key-version>"

L'organizzazione ha perso l'accesso al materiale per le chiavi originale

Se non si ha più accesso al modulo di protezione hardware locale originale o al materiale per le chiavi usato per creare la chiave BYOK, è necessario creare una nuova chiave:

1. Creare una nuova chiave seguendo la procedura descritta in Creare e configurare la chiave.

2. Configurare il controllo di accesso come descritto in Autorizzazione del servizio Azure Rights Management per l'uso della chiave.

3. Impostare la nuova chiave come attiva:

   Connect-AipService
   Use-AipServiceKeyVaultKey -KeyVaultKeyUrl "https://<vault-name>.vault.azure.net/keys/<key-name>/<key-version>"
   Set-AipServiceKeyProperties -KeyIdentifier <new-key-id> -Active $true
   

4. Apri un caso di supporto con il supporto di Microsoft Purview per discutere i passaggi successivi per il contenuto protetto con la chiave precedente. Passare all'interfaccia di amministrazione di Microsoft 365 e aprire una richiesta di servizio oppure contattare il rappresentante del supporto tecnico Microsoft. Per altre informazioni, vedi Ottenere supporto per Microsoft 365 per le aziende.

Passaggi successivi

Se non hai ancora attivato il servizio Rights Management, esegui questo passaggio ora.

Se il servizio è stato attivato prima della configurazione di BYOK, gli utenti passano gradualmente dalla vecchia chiave alla nuova chiave nel giro di poche settimane. Durante questa transizione, i documenti e i file crittografati con la chiave del tenant precedente rimangono accessibili agli utenti autorizzati.

Usare la registrazione dell'utilizzo di Azure Rights Management per visualizzare ogni transazione eseguita dal servizio Azure Rights Management e dalla chiave. Ad esempio, da un file di log visualizzato in Excel, i tipi di richiesta KeyVaultDecryptRequest e KeyVaultSignRequest mostrano che viene usata la chiave del tenant.