Configurar Chave de Cliente

Descrição do serviço Microsoft Purview

A Chave do Cliente permite controlar as chaves de criptografia da sua organização e configurar o Microsoft 365 para usar essas chaves para criptografar seus dados em repouso nos datacenters da Microsoft.

Este artigo orienta você na criação e configuração dos recursos necessários do Azure e, em seguida, na habilitação da Chave do Cliente. Após a instalação, você atribui políticas que determinam quais chaves criptografam dados em cargas de trabalho do Microsoft 365.

Para obter uma visão geral e mais informações, consulte Visão geral da chave do cliente.

Pré-requisitos

Antes de configurar a Chave do Cliente, verifique se você tem:

• Licenciamento: para obter os requisitos de licenciamento, confira Licenciamento de Chave do Cliente do Microsoft Purview
• Assinaturas do Azure: duas assinaturas pagas do Azure (gratuita, avaliação, patrocínio, MSDN ou suporte herdado não são qualificadas)
• Permissões: Permissões de administrador do Exchange (todas as operações de Chave do Cliente são executadas por meio do Exchange Online PowerShell)
• Módulos do PowerShell:
  • Azure PowerShell (v4.4.0 ou superior, recomendado) para operações de Key Vault/HSM
  • PowerShell do Exchange Online para operações de DEP
• Azure conhecimento: familiaridade com Azure Key Vault e Microsoft Entra conceitos de locatário

Se precisar de ajuda além da documentação, entre em contato com o Suporte da Microsoft. Para compartilhar comentários ou sugestões sobre a Chave do Cliente ou esta documentação, visite a Comunidade do Microsoft 365.

Visão geral das etapas para configurar a Chave do Cliente

Para configurar a Chave do Cliente, conclua as seguintes tarefas em ordem. O restante deste artigo fornece instruções detalhadas para cada tarefa ou links para obter mais informações sobre cada etapa do processo.

Pré-requisitos para todas as configurações

• Criar duas novas assinaturas do Azure
• Registrar as entidades de serviço necessárias

Instalação específica da configuração

• Configurar usando Azure Key Vault
• Configurar usando HSM gerenciado

Opções de integração

Escolha o método de integração que se aplica ao seu cenário:

• Integrar usando a Chave do Cliente Serviço de Integração (recomendado para a maioria dos locatários)
• Integrar à chave do cliente para SharePoint e OneDrive
• Integrar à chave do cliente para ambientes de nuvem especiais

Referência rápida: Comandos de configuração de teclas

Use as tabelas a seguir para localizar rapidamente os comandos necessários durante a instalação.

Registro da entidade de serviço

Azure Key Vault operações

Operações gerenciadas de HSM

Integração com chave do cliente

Criar duas novas assinaturas do Azure

A Chave do Cliente requer duas assinaturas do Azure. Como prática recomendada, a Microsoft recomenda criar novas assinaturas do Azure especificamente para uso com a Chave de Cliente.

Azure Key Vault chaves só podem ser autorizadas para aplicativos no mesmo locatário Microsoft Entra. Para atribuir políticas de criptografia de dados (DEPs), crie as duas assinaturas no mesmo locatário do Microsoft Entra usado pela sua organização. Por exemplo, use sua conta corporativa ou de estudante que tenha privilégios de administrador adequados em sua organização. Para obter diretrizes passo a passo, consulte Inscreva-se no Azure como uma organização.

Seguir essas práticas recomendadas reduz o risco de erro humano e simplifica o gerenciamento de chaves do cliente.

Registrar as entidades de serviço necessárias

Para usar a Chave do Cliente, o locatário deve ter as entidades de serviço necessárias registradas. As seções a seguir mostram como marcar se as entidades de serviço já estão registradas em seu locatário. Se não estiverem, execute o New-AzADServicePrincipal cmdlet.

Registrar a entidade de serviço para o aplicativo de integração de chave do cliente

Para marcar se o aplicativo Integração de Chave do Cliente já está registrado com as permissões corretas, execute o seguinte comando:

Get-AzADServicePrincipal -ServicePrincipalName 19f7f505-34aa-44a4-9dcc-6a768854d2ea

Se ele não estiver registrado, execute:

New-AzADServicePrincipal -ApplicationId 19f7f505-34aa-44a4-9dcc-6a768854d2ea

Registrar a entidade de serviço para o aplicativo M365DataAtRestEncryption

Para marcar se o aplicativo M365DataAtRestEncryption já está registrado com as permissões corretas, execute o seguinte comando:

Get-AzADServicePrincipal -ServicePrincipalName c066d759-24ae-40e7-a56f-027002b5d3e4

Se ele não estiver registrado, execute:

New-AzADServicePrincipal -ApplicationId c066d759-24ae-40e7-a56f-027002b5d3e4

Registrar a entidade de serviço para o aplicativo Office 365 Exchange Online

Para marcar se o aplicativo Office 365 Exchange Online já está registrado com as permissões corretas, execute o seguinte comando:

Get-AzADServicePrincipal -ServicePrincipalName 00000002-0000-0ff1-ce00-000000000000

Se ele não estiver registrado, execute:

New-AzADServicePrincipal -ApplicationId 00000002-0000-0ff1-ce00-000000000000

Etapas de instalação específicas da configuração

Get-AzKeyVaultKey -VaultName <vault name>

Update-AzKeyVaultKey -VaultName <vault name> -Name <key name> -Expires (Get-Date -Date "12/31/9999")

(Get-AzKeyVaultKey -VaultName <vault name>).Id

Get-AzKeyVaultKey -HsmName <HSM name>

Update-AzKeyVaultKey -HsmName <HSM name> -Name <key name> -Expires (Get-Date -Date "12/31/9999")

(Get-AzKeyVaultKey -HsmName <HSM name>).Id

Integrar usando a Chave do Cliente Serviço de Integração

O Serviço de Integração de Chave do Cliente do Microsoft 365 permite que você habilite a Chave do Cliente em seu locatário. Esse serviço valida automaticamente os recursos de chave do cliente necessários. Se preferir, você poderá validar seus recursos separadamente antes de prosseguir com a habilitação.

A conta usada para integração deve ter as seguintes permissões:

1. Permissões de registro da entidade de serviço: para registrar as entidades de serviço necessárias.
2. Função de leitor: em cada Azure Key Vault usado no cmdlet de integração.

Instale o módulo do M365CustomerKeyOnboarding PowerShell

1. Conecte-se à sua assinatura do Azure com o Azure PowerShell. Para obter diretrizes, consulte Entrar com o Azure PowerShell.

2. Instale a versão mais recente do M365CustomerKeyOnboarding módulo da Galeria do PowerShell.

• Para confirmar que você está usando a versão mais recente, marque a guia Histórico de versões na parte inferior da página do módulo.
• Copie e cole o comando de instalação em sua sessão e execute-o.
• Se for solicitado, selecione Sim para Todos para continuar.

Usando os dois modos de integração diferentes

Há dois modos de integração diferentes disponíveis ao usar o Serviço de Integração de Chave do Cliente: Validar e Habilitar. Cada modo serve a uma finalidade diferente no processo de integração.

Ao executar o cmdlet (conforme guiado em Criar uma solicitação de integração), especifique o modo usando o -OnboardingMode parâmetro.

Validar

Use o Validate modo para confirmar se a configuração do recurso de Chave do Cliente está correta. Esse modo não faz alterações no ambiente.

Habilitar

Use o Enable modo quando estiver pronto para integrar seu locatário à Chave do Cliente. Esse modo habilita a Chave do Cliente para a carga de trabalho especificada usando o -Scenario parâmetro.

Se você quiser habilitar a Chave do Cliente para Várias Cargas de Trabalho e Exchange, execute o cmdlet duas vezes, uma para cada carga de trabalho.

Antes de executar no modo Habilitar, verifique se os resultados da validação mostram Aprovado em ValidationResult.

Criar uma solicitação de integração

A primeira etapa do processo de integração é criar uma nova solicitação. No PowerShell, você pode armazenar os resultados de um cmdlet em uma variável usando o $ símbolo seguido do nome da variável.

Neste exemplo, a solicitação de integração é armazenada em uma variável chamada $request:

$request = New-CustomerKeyOnboardingRequest -Organization <tenantID> -Scenario <Scenario> -Subscription1 <subscriptionID1> -KeyIdentifier1 <KeyURI1> -Subscription2 <subscriptionID2> -KeyIdentifier2 <KeyURI2> -OnboardingMode <OnboardingMode>

Entre com suas credenciais de administrador de locatário

Quando solicitado, uma janela do navegador é aberta. Entre usando sua conta de administrador de locatário com os privilégios necessários para concluir a integração.

Exibir detalhes de validação e ativação

Depois de entrar com êxito, volte para a janela do PowerShell. Execute a variável usada ao criar a solicitação de integração para exibir sua saída:

$request

Você recebe uma saída que inclui ID, CreatedDate, ValidationResulte EnablementResult.

Um locatário pronto para usar a Chave do Cliente mostra Sucesso para ambos e ValidationResultEnablementResult.

Se ambos os valores mostrarem Êxito, vá para Próximas Etapas.

Solucionando problemas de detalhes de validações com falha

Se a validação falhar durante a integração, execute as etapas a seguir para investigar a causa. Esse processo ajuda a identificar quais recursos da Chave do Cliente estão configurados incorretamente.

1. Liste todas as solicitações de integração do locatário para descobrir RequestID o que você deseja investigar:

Get-CustomerKeyOnboardingRequest -OrganizationID <OrganizationID>

2. Armazene a solicitação de integração específica em uma variável:

$request = Get-CustomerKeyOnboardingRequest -OrganizationID <OrganizationID> -RequestID <RequestID>

3. Exiba os detalhes da validação com falha:

$request.FailedValidations

Cada regra de validação inclui os seguintes campos:

• ExpectedValue: qual deve ser a configuração do recurso.
• ActualValue: o que foi detectado em seu ambiente.
• Escopo: os primeiros cinco caracteres da ID da assinatura que ajudam a identificar qual assinatura (e seu Key Vault associado) tem o problema.
• Detalhes: descreve a causa raiz e oferece diretrizes para resolver o problema.

A tabela a seguir resume regras comuns de validação e como resolver falhas:

Verificando validações aprovadas

Para visualizar quais validações foram bem-sucedidas durante o processo de integração, execute as seguintes etapas:

1. Armazene a solicitação de integração específica na variável '$request'

$request = Get-CustomerKeyOnboardingRequest -OrganizationID <OrganizationID> -RequestID <RequestID>

2. Execute o seguinte comando para exibir todas as validações aprovadas:

$request.PassedValidations

Esse comando retorna uma lista de todas as validações que foram aprovadas com êxito para a solicitação de integração selecionada.

Integrar à chave do cliente para ambientes de nuvem especiais

Se o locatário estiver localizado no GCC-H, DoD ou M365 operado pela 21Vianet, conclua primeiro todas as etapas necessárias de configuração da Chave do Cliente.

• Para locatários do GCC-H e do DoD, entre em contato com o Suporte da Microsoft e solicite a integração dos locatários do governo dos EUA.

• Para clientes no Microsoft 365 operado pela 21Vianet (China), configure seus recursos de Chave do Cliente usando o portal do Azure operado pela 21Vianet. Em seguida, entre em contato com o Suporte da Microsoft e solicite a integração do seu locatário.

Integrar à chave do cliente para SharePoint e OneDrive

Para integrar a Chave do Cliente para SharePoint e OneDrive, seus Cofres de Chaves do Azure devem atender aos seguintes pré-requisitos:

1. Habilite a exclusão temporária e a proteção contra limpeza durante o processo de criação inicial do cofre. Consulte Habilitando a Exclusão Temporária e a Proteção de Limpeza para Azure Key Vault.

Se esse pré-requisito for atendido, execute as etapas em Criar uma DEP para uso com o SharePoint e o OneDrive.

Próximas etapas

Depois de concluir as etapas de configuração deste artigo, você estará pronto para criar e atribuir DEPs. Para obter instruções detalhadas, consulte Gerenciar Chave do Cliente.

Artigos relacionados

• Criptografia do Serviço de Chave do Cliente com Microsoft Purview Chave do Cliente

• Gerenciar Chave de Cliente

• Rolar ou girar uma Chave de Cliente ou uma chave de disponibilidade

• Saiba mais sobre a chave de disponibilidade

• Criptografia de serviço e gerenciamento de chaves