Claves de Firma de Tokens
Para qué sirve esta pantalla
Claves de firma de tokens muestra las claves que firman cada token de acceso de usuario que emite la plataforma, y permite al superadministrador de la plataforma rotarlas cuando lo necesite o retirar una ante una sospecha de divulgación.
Cada token de acceso indica la clave que lo firmó, y cada servicio que comprueba un token busca esa clave en el conjunto que publica la plataforma. Por eso las claves pueden cambiar sin cerrar la sesión de nadie: una clave se publica antes de firmar y sigue publicada después de dejar de firmar, hasta que vence cada token que firmó.
No necesitas hacer nada aquí para que haya rotación. La plataforma rota según su propio calendario y retira las claves antiguas cuando llega su momento; esta pantalla te muestra en qué punto está ese ciclo.
Qué debe existir antes
- Trabajas en el contexto de la plataforma. Una petición desde un tenant cliente se rechaza, tenga los permisos que tenga.
- El permiso de lectura de las claves de firma de tokens, que tienen los roles integrados de superadministrador, operador, auditor y observador de la plataforma, llena la tabla.
- El permiso de gestión activa Rotar ahora y Revocar. Solo lo tiene el rol integrado de superadministrador de la plataforma. Sin él, la pantalla indica que es de solo lectura.
- Un backend de protección de claves vinculado. Las claves se sellan con él; mientras no esté vinculado, la pantalla no puede leerlas ni modificarlas y te indica que lo vincules en HSM / Cloud KMS.
- El propio conjunto de claves. La plataforma lo crea en menos de un minuto tras su primer arranque; hasta entonces la pantalla indica que aún no se ha inicializado.
Decisiones que tomas aquí
Cómo leer la tabla
Cada fila es una clave publicada, con su estado, su ID de clave (kid) y tres instantes calculados por el servidor:
- Siguiente — publicada, todavía no firma. Pasa a ser la clave de firma en la próxima rotación.
- Activa — la única clave que firma tokens ahora. Firma desde es cuándo se promovió.
- Anterior — ya no firma. Sale del conjunto es cuándo se retira, una vez vencido cada token que firmó.
La pantalla nunca calcula una fecha por su cuenta. Cuándo se puede rotar y cuándo sale cada clave lo decide el servidor, y Actualizar lo vuelve a leer.
Rotar ahora
Rotar ahora promueve la clave Siguiente, convierte la Activa en Anterior y publica una nueva clave Siguiente, en un solo paso. Ningún usuario con sesión iniciada pierde su sesión.
Solo está disponible a partir del instante que indica la pantalla. La clave Siguiente debe llevar unos minutos publicada, para que todos los servicios ya la tengan antes de que llegue su primer token. Si lo pides antes, se rechaza y no cambia nada.
Rara vez lo necesitarás: la plataforma rota sola cuando la clave Activa alcanza la antigüedad fijada en Acceso e Identidad → JWT (90 días salvo que se cambie).
Revocar una clave
Revocar retira una clave del conjunto de inmediato. Es para un incidente, no para la rotación habitual, y pide un motivo que queda registrado en el evento de auditoría firmado, de 1.000 bytes como máximo. Después confirmas en un segundo paso.
Lo que ocurre depende de la clave:
- Activa — la clave Siguiente empieza a firmar de inmediato, aunque algunos servicios aún no la tengan en caché, y se publica una nueva clave Siguiente. Los tokens firmados con la clave revocada dejan de aceptarse.
- Siguiente — no ha firmado nada; la sustituye una nueva clave Siguiente.
- Anterior — los tokens que firmó dejan de aceptarse.
Una clave revocada se retira, no se degrada, y no se puede restaurar. Los servicios dejan de aceptarla en unos cinco minutos, a medida que actualizan el conjunto publicado.
Cuando otro cambio llegó antes
Solo se confirma un cambio del conjunto de claves a la vez. Si el calendario de la plataforma, u otro administrador, modificó el conjunto entre tu lectura y tu acción, la acción se rechaza, no cambia nada y la pantalla vuelve a leer el conjunto para que lo revises antes de intentarlo de nuevo.
La revocación también comprueba el estado de la clave. La confirmación muestra lo que hace revocar la clave en el estado en que está ahora, y tu solicitud indica ese estado. Si una rotación movió la clave antes —la clave Siguiente que querías descartar ya está firmando—, la revocación se rechaza y no cambia nada; la pantalla muestra el estado actual de la clave y vuelve a leer el conjunto. No se reenvía nada por ti: vuelve a decidir y confirma si la revocación sigue siendo lo que quieres.
Cómo se relaciona con otras pantallas
La antigüedad a la que la plataforma rota por sí sola es un ajuste de la pantalla de identidad:
El backend que sella estas claves, y el resto de este grupo: