Clave de Sellado del Estado de las Claves

Para qué sirve esta pantalla

Clave de sellado del estado de las claves muestra la clave que sella cada registro de clave de este despliegue y permite a un superadministrador de la plataforma rotarla cuando sospecha que se expuso.

Cada registro de clave lleva un sello calculado sobre los campos que deciden cómo puede usarse la clave: su tenant, su propósito, su estado, su algoritmo, sus límites y sus vencimientos. Un registro cuyo sello no se verifica nunca se usa. La plataforma genera la clave de sellado y la guarda envuelta por la clave de cifrado de claves del despliegue; nunca aparece en tu proveedor de protección de claves.

En la operación normal no tienes que hacer nada aquí. Una rotación es para el día en que sospeches que la propia clave de sellado se expuso.

Qué debe existir antes

Trabajas en el contexto de la plataforma.
Leer la pantalla requiere el permiso de lectura de observabilidad de la plataforma, que tienen todos los roles de plataforma. Sin él, la pantalla indica que no puede leerse.
Rotar la clave de sellado y Reabrir requieren su propio permiso, que solo tiene el rol integrado de superadministrador de la plataforma. Sin él no se ofrece ninguna de las dos acciones, y tampoco se ofrecen mientras trabajas dentro de un tenant con acceso de soporte.
La rotación y la reapertura te piden confirmar de nuevo tu identidad cuando tu inicio de sesión no es reciente.
Un backend de protección de claves vinculado que pueda envolver la nueva clave. Mientras no pueda, la rotación se rechaza y no cambia nada.

Decisiones que tomas aquí

Leer las generaciones

Cada fila es una generación de la clave de sellado, de la más reciente a la más antigua:

Activa: la clave que sella cada registro que se escribe ahora.
Anterior: la clave que una rotación reemplazó. Todavía verifica los registros que aún no se han pasado a la nueva clave.
Retirada: una clave que ya ningún registro nombra. Su material de clave se borró; solo quedan su identificador y su historial.

La columna Prueba indica si la plataforma sigue probando la generación contra tu backend de protección de claves: Abierta, o Cerrada con el motivo y desde cuándo.

Cuando la clave de sellado está cerrada

La plataforma prueba de forma continua la generación Activa. Cuando la prueba falla, cierra la generación, y mientras la generación Activa esté cerrada se rechaza toda escritura de claves en todos los tenants. La pantalla lo muestra como una alerta por encima de todo lo demás, con el motivo:

Rechazos del backend: tu backend de protección de claves rechazó la prueba dos veces, con al menos cinco minutos de diferencia. No hay duda sobre la clave. La generación se reabre sola con la siguiente prueba correcta, así que comprueba que el backend esté disponible y acepte las solicitudes de la plataforma.
No coincide: la clave no superó la prueba; no es la clave con la que se sellaron los registros. Este cierre se mantiene hasta que un superadministrador lo levante, con una reapertura cuando la discrepancia esté explicada o con una rotación por compromiso cuando la clave pueda estar expuesta.

Reabrir una generación

Reabrir se ofrece en una generación Activa o Anterior cerrada porque no coincide, y en ninguna otra. Indicas por qué la discrepancia ya no aplica, por ejemplo una copia de seguridad restaurada con una clave equivocada que después se corrigió; el motivo queda registrado en la auditoría de la plataforma. Las escrituras de claves se admiten de nuevo en cuanto la reapertura tiene éxito.

Reabre solo cuando la causa esté explicada. Si la clave pudo haberse expuesto, rótala en modo de compromiso.

Rotar la clave de sellado

Rotar la clave de sellado crea la siguiente generación, la vuelve Activa y convierte la actual en Anterior. Luego una pasada mueve cada registro de clave a la nueva clave, tabla por tabla. Un registro cuyo sello no se verifica nunca se mueve: la pasada lo nombra y no retira la clave anterior.

Indicas un motivo, que queda registrado en la auditoría de la plataforma. Solo corre una rotación a la vez: mientras exista una generación Anterior, o una pasada esté en curso o bloqueada, una nueva rotación se rechaza y no cambia nada. Mientras la generación Activa esté cerrada porque no coincide, solo se admite una rotación por compromiso, y el diálogo activa el modo de compromiso por ti.

Modo de compromiso

Marca La clave de sellado pudo haberse expuesto cuando rotes por una exposición. Hasta que la pasada mueva un registro, cada clave cuyo registro siga sellado con la clave anterior se rechaza al usarse, así que las claves pueden quedar no disponibles mientras dure la pasada. Planifícala para un momento de poca actividad.

El modo de compromiso no puede detectar toda falsificación. Después de la rotación, compara las claves que te preocupan con su historial de auditoría.

Seguir la pasada

El panel de progreso muestra, para cada una de las tres tablas de claves, cuántos registros ya estaban al día, cuántos se movieron, cuántos estaban retenidos por otra escritura y se reintentarán, cuántos esperan al backend de protección de claves, cuántos esperan a que se mueva primero el material al que pertenecen, y cuántos se rechazaron.

Durante una rotación por compromiso, la pasada necesita leer qué registros es seguro mover. Mientras no puede, el panel lo indica y desde cuándo; la pasada espera esos registros y no rechaza ninguno.

Cuando una discrepancia cierra la clave anterior durante una rotación

Si la prueba de la plataforma cierra la generación Anterior porque no coincide mientras corre una rotación ordinaria, la clave antigua ya no puede verificar los registros que siguen sellados con ella. La rotación pasa entonces a ser una rotación por compromiso, y el panel indica cuándo. De ahí se siguen dos cosas:

Los registros aún no movidos se vuelven a sellar solo con su mínimo de versión firmado. El panel los cuenta por tabla, aparte de los registros movidos de forma normal, e indica el límite: su integridad depende de ese mínimo, que firma la versión de cada registro y no su contenido.
Un registro que la pasada rechazó antes de la conversión sigue rechazado, así que la pasada aún puede terminar Bloqueada con ese registro en la lista.

Hasta que todos los mínimos de versión firmados estén completos, la conversión espera: el panel indica desde cuándo, no se vuelve a sellar nada y la pasada no se bloquea. Reabrir la clave anterior, una vez explicada la discrepancia, termina la espera. Una reapertura posterior no deshace una conversión que ya ocurrió.

En curso: la pasada está moviendo registros.
Bloqueada: al menos un registro no se verificó. El panel lista cada uno por tabla e identificador, y nada de ellos se cambia. Investígalos contra el historial de auditoría de la clave.
Completa: cada registro nombra la nueva clave y la generación anterior está retirada.

El procedimiento paso a paso, incluido qué hacer después de restaurar una copia de seguridad tomada antes de una rotación, es el runbook de rotación de la clave de sellado del estado de las claves, en la sección de operaciones de la documentación para clientes.

Cómo se relaciona con otras pantallas

El backend cuya clave de cifrado de claves envuelve la clave de sellado, y los demás conjuntos de claves de este grupo: