在 Microsoft 365 中轮换 DKIM 密钥

域名密钥识别邮件 (DKIM) 为您的外发邮件提供额外的安全保障。为了保护您的域，必须每隔几个月轮换一次 DKIM 公钥和私钥。轮换 DKIM 密钥后，您可以使用新的公钥和私钥来签名和验证消息。本文将向您展示如何在 Exchange 管理中心和 PowerShell 中轮换 DKIM 密钥。

域名密钥识别邮件 (DKIM)

域名密钥识别邮件 (DKIM) 是一种电子邮件身份验证程序，有助于防止电子邮件欺骗并使电子邮件更加可靠。当您在域中实施 DKIM 密钥时，收件人知道电子邮件来自同一组织内的用户，并且在传输过程中不会发生更改。

在开始之前，您需要为您的域配置并启用 DKIM 密钥。

为什么要轮换 DKIM 密钥？

DKIM 密钥由私钥和公钥对组成，用于验证邮件。使用强密钥非常重要，但定期轮换 DKIM 密钥也很重要。密钥轮换有助于最大限度地降低私钥泄露的风险。

如果第三方窃取或破译了您的私钥，他们可能会使用您的有效 DKIM 签名“签署”垃圾邮件或网络钓鱼电子邮件。从这些垃圾邮件或网络钓鱼电子邮件收集的负面数据信号随后会与您的域相关联，从而导致电子邮件的送达问题。

轮换 DKIM 密钥会使旧密钥变得毫无价值，从而提供额外的安全层来帮助您保持良好的交付能力。

我应该多久轮换一次 DKIM 密钥？

现在您了解了为什么轮换 DKIM 密钥很重要。问题是您应该多久为任何组织轮换一次 DKIM 密钥。这取决于每个组织的安全策略及其风险。

• 少量发件人：如果您的组织收到来自本地和区域发件人的电子邮件，您应该每六个月或每年轮换一次 DKIM 密钥。
• 大量发件人：如果您的组织经常收到来自国际发件人的电子邮件，您应该每月或每三个月轮换一次 DKIM 密钥。
• 安全漏洞：如果存在安全漏洞，您应立即轮换 DKIM 密钥。

注意：为了获得最佳实践，您应该每六个月轮换一次 DKIM 密钥。但是，如果您检测到安全系统漏洞，您应该立即更改它，即使您在两个月前进行了轮换。

在 Exchange 管理中心轮换 DKIM 密钥

要轮换 Exchange Online 中域的 DKIM 密钥，请按照以下步骤操作。

检查 Microsoft 365 中的 DKIM 状态

在旋转 DKIM 密钥之前，我们必须检查它们是否已启用。

检查 Microsoft 365 门户中的 DKIM 状态：

1. 登录 Microsoft 365 Defender 门户
2. 单击菜单电子邮件和协作
3. 点击政策与规则
4. 单击威胁策略

1. 点击电子邮件身份验证设置

1. 点击DKIM

注意：您可以直接转到 Microsoft 365 Defender 中的 DKIM 页面。

在 Microsoft 365 中查看和轮换 DKIM 密钥

在域名密钥识别邮件 (DKIM) 页面上，您将看到您的域名。

1. 从列表中单击您的域名以打开详细信息。在我们的示例中，域名是 exoip.com
2. 将开关从禁用滑动到启用
3. 单击轮换 DKIM 密钥

您可以对 Microsoft 365 管理中心中的每个域执行这些步骤。

使用 PowerShell 轮换 DKIM 密钥

要使用 PowerShell 在 Exchange Online 中轮换域的 DKIM 密钥，请按照以下步骤操作。

连接到 Exchange Online PowerShell

首先，您必须以全局管理员身份连接到 Exchange Online PowerShell。

在 PowerShell 中查看 DKIM 密钥状态

获取基于云的组织中域的域名密钥识别邮件 (DKIM) 状态，包括其有效性。

运行 Get-DkimSigningConfig cmdlet。

Get-DkimSigningConfig "exoip.com" | fl Name,isvalid,enabled,status,selector1*,selector2*

输出将如下例所示。

PS C:\> Get-DkimSigningConfig "exoip.com" | fl Name,isvalid,enabled,status,selector1*,selector2*


Name               : exoip.com
IsValid            : True
Enabled            : True
Status             : Valid
Selector1KeySize   : 2048
Selector1CNAME     : selector1-exoip-com._domainkey.exoip365.onmicrosoft.com
Selector1PublicKey : v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAXU9fiyN7ydzclwM60wnAXU6CaPjjeM5oqMRW
                     lrKUdeakL35VTVK7vYGDCRowCm9zOYOVuuufx0Fc9edp2DNKp0tQenJOKKczAk0kh6TCJ807S/tLgqCX9epUI+RZmL1wCacEgg
                     4yVBy6y943AfmyqZXvxZHpSW7f3PN+ACVT/r/bTj2DzsFoms9L8xG+yRm21hSr10GfZdEncVx9adBDkTol0FNYZ/A5JtrIacte
                     24Axq8AxRn6eynZgVmEdcrJ69shnDmh1ViJFxiE9ADwtpKplISNhdwio530z/X6FBqEk1CE+AanPt2zJIxEsgq087hXK7Fr3/9
                     2DEXWPGDY+/QIDAQAB;
Selector2KeySize   : 2048
Selector2CNAME     : selector2-exoip-com._domainkey.exoip365.onmicrosoft.com
Selector2PublicKey : v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAtXmhGJWOes+j494nDUhHJNCnpMPNnkkYEllE
                     pQW2NmpB63nqUTfZ0on0z6Fo0bGhRMqfcpT0WFWRN2DWh8rxmJSFdjFVLOS1v4vhft/Q0bwNUvvUTgy0ohUhiOA2S6ILyZNWd7
                     UsU68cqOQZxWerc7uqDynb0R7FJhaQk7/VoGZjM4pzMJawAGgqILYHrGfAyCoFkwdwLuETaRqTnCDBwjjk0enmzZpwKVPl6z/G
                     4cx4KSZTDXrdf2SNoEJK9yJI0KSFsSXItT8VdRSL90ZSIxbDqsu2NvBbzWfWElXasjBJLK++LXDbQYEd/W4Hbpgfu/qC8oWtkh
                     N/I5FH9clx8QIDAQAB;

使用 PowerShell cmdlet 轮换 DKIM 密钥

运行下面的 PowerShell cmdlet 为您的域轮换新的 DKIM 密钥。

Rotate-DkimSigningConfig -Identity "exoip.com" -KeySize "2048"

检查旋转的 DKIM 密钥

检查您是否在 MxToolbox 中旋转了 DKIM 密钥。

1. 输入您的域名
2. 输入选择器1
3. 点击DKIM 查找

测试结果显示selector1的DKIM记录已发布。

现在我们需要检查同一个域的选择器 2。

1. 将查找字段从选择器1更改为选择器2
2. 点击DKIM 查找

测试结果显示selector2的DKIM记录已发布。

就是这样！

了解更多：将已发送的邮件保存在共享邮箱中 »

结论

您已了解如何在 Exchange 管理中心和 PowerShell 中轮换 DKIM 密钥。使用 PowerShell cmdlet 为 Exchange Online 中的域轮换 DKIM 签名策略密钥。最后，您可以通过键入域名和两个选择器来检查和验证 MxToolbox 中的 DKIM 记录。

您喜欢这篇文章吗？您可能还喜欢在 Exchange Online 中启用回复所有风暴保护。不要忘记关注我们并分享这篇文章。