Claves de Firma de Proyecciones
Para qué sirve esta pantalla
Claves de firma de proyecciones muestra las claves que firman los datos de autorización que comparten los servicios de la plataforma —permisos, políticas, etiquetas de protección de claves, estados— y cada cambio de ajustes de plataforma, y permite al superadministrador de la plataforma rotarlas cuando lo necesite o retirar una ante una sospecha de divulgación.
Solo el servicio de administración tiene estas claves. Cada uno de los demás servicios comprueba cada valor con las claves públicas que publica la plataforma, así que ningún otro servicio puede producir un valor que la plataforma acepte.
No necesitas hacer nada aquí para que haya rotación. La plataforma rota según su propio calendario, vuelve a firmar cada valor con la nueva clave y retira la anterior cuando termina esa nueva firma; esta pantalla te muestra en qué punto está ese ciclo.
Qué debe existir antes
- Trabajas en el contexto de la plataforma. Una petición desde un tenant cliente se rechaza, tenga los permisos que tenga.
- El permiso de lectura de las claves de firma de proyecciones, que tienen los roles integrados de administrador, operador, auditor y observador de la plataforma, llena la tabla.
- El permiso de gestión activa Rotar ahora y Revocar. Solo lo tiene el rol integrado de superadministrador de la plataforma. Sin él, la pantalla indica que es de solo lectura.
- Un backend de protección de claves vinculado. Las claves se sellan con él; mientras no esté vinculado, la pantalla no puede leerlas ni modificarlas y te indica que lo vincules en HSM / Cloud KMS.
Decisiones que tomas aquí
Cómo leer la tabla
Cada fila es una clave publicada, con su estado, su ID de clave (kid), su algoritmo y los instantes calculados por el servidor:
- Siguiente — publicada, todavía no firma. Pasa a ser la clave de firma en la próxima rotación.
- Activa — la única clave que firma ahora. Firma desde es cuándo se promovió. Su columna de nueva firma indica si ya se volvieron a firmar todos los valores con ella.
- Anterior — ya no firma. Sigue publicada hasta que cada valor que firmó se vuelve a firmar con la clave Activa; entonces la pantalla indica desde cuándo puede salir del conjunto, y la plataforma la retira en su próxima comprobación.
La pantalla nunca calcula una fecha por su cuenta, y Actualizar vuelve a leer cada instante del servidor.
Rotar ahora
Rotar ahora promueve la clave Siguiente, convierte la Activa en Anterior y publica una nueva clave Siguiente, en un solo paso. Después, cada valor se vuelve a firmar con la nueva clave, y ningún servicio rechaza un valor durante la rotación.
Solo está disponible a partir del instante que indica la pantalla: la clave Siguiente debe llevar unos minutos publicada, para que todos los servicios ya la tengan. Si lo pides antes, se rechaza y no cambia nada.
Rara vez lo necesitarás: la plataforma rota sola cuando la clave Activa alcanza la antigüedad fijada en Firma de proyecciones, en este mismo grupo (90 días salvo que se cambie).
Revocar una clave
Revocar retira una clave del conjunto de inmediato. Es para un incidente, no para la rotación habitual. Pide un motivo, que queda registrado en el evento de auditoría firmado y ocupa como máximo 1.000 bytes, y después muestra qué efecto tiene revocar esta clave antes de que confirmes.
- Activa — la clave Siguiente empieza a firmar de inmediato y se publica una nueva clave Siguiente. Todos los servicios rechazan cada valor firmado con la clave revocada hasta que se vuelve a firmar con la nueva clave, así que las operaciones que dependen de esos valores se deniegan durante un breve periodo.
- Siguiente — no ha firmado nada; la sustituye una nueva clave Siguiente y no se rechaza nada.
- Anterior — se rechaza cualquier valor que aún esté firmado con ella hasta que se vuelve a firmar con la clave Activa.
Una clave revocada se retira, no se degrada, y no se puede restaurar. Los servicios la descartan en cuanto se les avisa de que el conjunto cambió.
Cuando otro cambio llegó antes
Solo se confirma un cambio del conjunto de claves a la vez. Si el calendario de la plataforma, u otro administrador, modificó el conjunto entre tu lectura y tu acción, la acción se rechaza, no cambia nada y la pantalla vuelve a leer el conjunto para que lo revises.
La revocación también comprueba el estado de la clave. Si una rotación movió la clave antes, la revocación se rechaza y no cambia nada; la pantalla muestra el estado actual de la clave y qué efecto tendría ahora revocarla. No se reenvía nada por ti: vuelve a decidir y confirma si la revocación sigue siendo lo que quieres.
Cómo se relaciona con otras pantallas
La antigüedad a la que la plataforma rota estas claves por sí sola:
Las claves que firman los tokens de acceso de usuario, el backend que sella ambos conjuntos de claves y el resto de este grupo: