Inventario de Claves

Para qué sirve esta pantalla

El Inventario de Claves muestra todas las claves que tu tenant todavía conserva, sea cual sea su estado —activa, vencida, suspendida, revocada, archivada o pendiente de destrucción—, y es donde las creas y tomas todas las decisiones de su ciclo de vida. Cada fila muestra el identificador, el tipo, el algoritmo, el estado, la conformidad, el uso frente a su límite, las referencias y el vencimiento; una clave revocada o archivada muestra además su causa y cuándo, y una pendiente de destrucción, cuánto falta. Total de Claves cuenta todas las claves del filtro actual, en todas las páginas.

Selecciona una fila para abrir los detalles de esa clave; los controles dentro de la fila mantienen su propia función. Una clave conserva el mismo identificador durante toda su vida: al rotarla se añade una nueva versión de material bajo ese identificador, así que las aplicaciones siguen usando el mismo nombre mientras la clave de debajo cambia. El detalle muestra también su Identidad de la clave, que nombra a esa clave concreta. Un identificador nunca se reutiliza en tu tenant, ni siquiera tras destruir su clave.

Qué debe existir antes

Los gestores de claves y los administradores del tenant abren esta pantalla desde la navegación de su tenant; lo que puedes hacer depende de tus permisos, y no se ofrece un control que no puedas usar. El permiso de lectura de claves muestra la pantalla; crear claves, editar sus metadatos, rotar, suspender, reactivar, revocar, archivar, solicitar una destrucción y cancelarla son, cada uno, un permiso adicional. Además debe haber un backend de protección de claves: mientras no lo haya, la creación de claves se rechaza y la consola lo indica.

La pantalla se ofrece por igual a los tenants SIMPLE y STANDARD, y crear y gestionar claves funciona igual en ambos. Lo que cambia es cómo se autoriza el uso de una clave, que se describe más abajo en Cómo se relaciona con otras pantallas. El rol integrado de gestor de claves tiene los permisos sobre claves, versiones de material y concesiones de capacidad, pero no el de lectura de la pista de auditoría, así que la pestaña Audit History de una clave no está disponible para ese rol. El rol de administrador del tenant los tiene todos.

Decisiones que tomas aquí

Además de tus permisos, las acciones de una clave dependen de su estado: activa ofrece Rotar, Suspender y Revocar; vencida, Rotar y Revocar; suspendida, Reactivar y Revocar; revocada, Archivar; archivada, Marcar para destrucción; pendiente de destrucción, Cancelar la destrucción.

Crear una clave

Con el permiso de creación de claves, Generar Clave crea una clave. Estas decisiones se toman al crearla:

Identificador de la clave: el nombre que usan las aplicaciones. La consola admite letras minúsculas, dígitos, guiones y guiones bajos, y genera uno si lo dejas en blanco. No puede ser el identificador de ninguna clave que tu tenant haya tenido, incluidas las destruidas: un identificador nunca se reutiliza.
Estructura, Algoritmo, Propósito y Exportación: una clave simple usa un algoritmo; una compuesta combina un componente clásico y uno post-cuántico y nunca se rota a una simple. Solo se ofrecen los algoritmos que admite tu política de algoritmos, y una rotación puede llevar la clave a otro dentro de su propósito. El propósito, cifrado y envoltura de claves o firma y verificación, es fijo y se deduce del algoritmo; lo eliges solo si este sirve para ambos. La exportación indica si la clave, incluida la pública, se puede exportar; el preajuste de producción recomendado la desactiva.
Límites del ciclo de vida: una fecha de vencimiento, un vencimiento blando anterior y opcional que solo avisa, un número máximo de usos (0 es ilimitado) y un límite de uso blando que avisa antes. El máximo es un presupuesto de protección: cada firma y cada cifrado (uno por cada clave a la que se cifra el resultado) cuentan un uso, en claves simples y compuestas por igual; descifrar y verificar nunca cuentan.

Una clave que pasó su vencimiento o alcanzó su máximo aparece como vencida, con el límite que alcanzó, y ya no cifra ni firma, pero nada más cambia: su versión actual no se retira, la clave no se suspende ni se revoca y no se registra ninguna causa, así que sigue descifrando y verificando lo que protegió, y al rotarla obtiene una versión nueva que vuelve a proteger.

Editar los metadatos de una clave

Con el permiso de edición de metadatos de claves, Editar Metadatos en el panel de detalle de una clave, no en su fila, cambia su nombre y su descripción en cualquier estado salvo eliminada. Una clave activa, vencida o suspendida, que aún tiene material vigente, admite también cambios en la exportación, los límites de uso y el vencimiento; una revocada, archivada o pendiente de destrucción no tiene material vigente, así que solo cambian su nombre y su descripción. El identificador, el algoritmo y el tipo no cambian tras crearla.

Un límite que la clave ya alcanzó es definitivo: pasado su vencimiento, la fecha ya no se puede cambiar ni quitar, y agotado su máximo de usos, el máximo tampoco. El diálogo muestra ese campo como de solo lectura y te indica rotar la clave, que es la salida. Un máximo nuevo debe superar los usos que la clave ya registró.

Rotar una clave, a mano o según un calendario

Con el permiso de rotación de claves, Rotar sobre una clave activa o vencida crea una nueva versión de material bajo el mismo identificador, que el nuevo cifrado y la nueva firma usan desde entonces; la versión anterior queda retirada. Rotar es la forma en que una clave vencida vuelve a proteger: la versión nueva empieza sin usos contados y con su propio vencimiento, que debe ser futuro. La política de ciclo de vida de tu tenant decide qué estados se pueden rotar, y Rotar solo se ofrece donde lo permite.

Una rotación no lleva causa de suspensión ni de revocación, porque nada salió mal, así que la regla de causa de Suspender, reactivar y revocar nunca se aplica a una versión retirada por rotación: con la política de ciclo de vida predeterminada sigue descifrando y verificando lo que protegió, y el recifrado desde ella sigue funcionando, así que los datos existentes siguen siendo legibles.

Si se pierde la respuesta a una rotación, por ejemplo porque se corta la conexión o la solicitud agota su tiempo, confirmar de nuevo la misma rotación en la misma ventana nunca rota la clave dos veces: la consola envía ambos intentos como una sola rotación. Cerrar la ventana, o cambiar el destino, inicia una rotación nueva. Si otra rotación de la clave se aplicó antes, la rotación se rechaza sin cambiar nada: vuelve a abrir la clave para ver su versión actual.

La nueva versión puede usar otro algoritmo, siempre dentro del propósito de la clave, y la política de rotación de tu tenant puede rechazar un destino. Cuando la política permite un destino más débil que la clave actual, la consola te pide que confirmes esa degradación de forma explícita. La columna Conformidad marca las claves cuyo algoritmo no cumple la política de algoritmos de tu tenant, e indica cuándo no hay un algoritmo conforme al que rotar.

Con el permiso de lectura de calendarios de rotación, la columna Próxima rotación, y la misma fila tras el vencimiento en el detalle de una clave, muestran cuándo rota automáticamente la clave, en tu zona horaria de visualización. Una fecha pasada se marca como Vencida; "—" significa que la clave no está programada.

La rotación automática se activa clave por clave con Rotar esta clave automáticamente, arriba de la sección Rotación automática; la frase de debajo indica qué la hará rotar. El interruptor gobierna las condiciones de debajo: desactivado, nada rota la clave, y las condiciones conservan su configuración, en pausa y sin poder editarse, hasta que lo vuelvas a activar. Siempre puedes activarlo: con un intervalo o una opción de uso ya puestos surte efecto de inmediato; sin ninguno, abre las condiciones y te pide elegir una, y no se guarda nada hasta que lo hagas.

En Cuándo rotar, la fila del intervalo muestra el intervalo, su origen y Editar. Las horas solo se ofrecen si el mínimo del despliegue es menor que un día, los minutos si es menor que una hora; un intervalo por debajo del mínimo se rechaza antes de enviarse, y uno guardado en horas o minutos ya no admitido debe pasar a días, meses o años. La Tolerancia es la ventana tras el instante previsto en la que el planificador inicia la rotación, repartida para que las claves previstas a la vez no roten juntas: el 1 % del intervalo efectivo, máximo 6 horas, nunca antes del instante previsto.

Una clave con un número máximo de usos también puede rotar por uso. En Cuándo rotar, Al alcanzar el límite de uso de advertencia y Al agotar el límite de uso, cada una con el límite de la clave, rotan la clave al alcanzar ese límite, mientras la rotación automática esté activada; cualquiera de las dos basta sin intervalo. Cada opción se ofrece solo si la clave tiene ese límite; la sección indica cuándo falta. Con ambas activadas, normalmente el límite de advertencia rota la clave primero y el agotamiento actúa como salvaguarda.

Con la rotación automática activada puedes desactivar cualquier condición; desactivar la última desactiva también la rotación automática, como indica la confirmación. Una clave que vuelve a su intervalo heredado sigue rotando si el tenant o el despliegue definen uno, y el editor indica qué intervalo seguiría, o ninguno. Un cambio rechazado se explica junto a su control. Alcanzar cualquiera de los dos límites queda en el registro de auditoría y se notifica por correo, en inglés, a quien en tu tenant puede cambiar los calendarios de rotación.

Gana la primera rotación, la pida el tiempo, el uso o una persona, y toda rotación reinicia el recuento y el intervalo desde la versión nueva. La columna Causa de la rotación de la pestaña Lineage indica por qué existe cada versión: Manual si alguien rotó la clave, Programada si lo hizo la rotación automática por su intervalo, Umbral de uso o Límite de uso alcanzado si la versión anterior alcanzó su límite de advertencia o su máximo, y "—" para la primera versión o una anterior al registro de la causa.

Con el permiso de lectura de calendarios, la pestaña Calendario de rotación muestra el calendario de la clave y sus ejecuciones, 20 por página (con varios calendarios, Ver ejecuciones elige cuál), con su estado, hora planificada, intentos, resultado y finalización. Una ejecución reemplazada por otra más reciente lo indica. Sin calendario, la pestaña indica que la rotación automática no está activada; si la planificación no está disponible, ofrece Reintentar. Rotar ahora es la misma rotación que Rotar y se ofrece justo cuando Rotar. Toda rotación reinicia el intervalo desde la versión nueva.

Suspender, reactivar y revocar

Con el permiso de suspensión de claves, Suspend en el detalle de una clave activa la pone en espera, por ejemplo mientras se investiga un posible compromiso. Una clave suspendida ya no cifra ni firma con ninguna de las dos políticas incluidas, no se puede rotar y, si la causa es un compromiso de seguridad, la plataforma rechaza cualquier operación con ella, diga lo que diga la política de ciclo de vida de tu tenant. Sus versiones de material y las concesiones que la nombran no se modifican. El diálogo pide dos entradas obligatorias:

Causa: una de las que publica la plataforma: compromiso de seguridad, algoritmo obsoleto, administrativa, incumplimiento de política o requisito regulatorio. No es una etiqueta: decide qué sobrevive a la espera, como se explica abajo. No hay causa predeterminada; una suspensión sin causa se rechaza. Motivo: texto libre, registrado en la pista de auditoría con tu cuenta, que lee quien decida después si puede levantarse la espera.

Un compromiso de seguridad detiene el descifrado de datos ya cifrados con la clave, la verificación de firmas ya realizadas con ella y el recifrado o la refirma desde ella hacia otra clave, y solo esa causa detiene además toda escritura, permita lo que permita la política de ciclo de vida de tu tenant sobre una clave suspendida. Ninguna de las otras cuatro detiene esas lecturas: mientras la clave está en espera, lo que siga siendo legible lo decide esa política, igual que antes. La causa solo puede restringirla más, nunca relajarla.

Antes de confirmar, el diálogo muestra qué hace la causa seleccionada con esta clave: qué lecturas se detienen y cuáles continúan, versión por versión. Lo calcula el servidor para la clave que estás viendo, según la política de ciclo de vida de tu tenant; la consola lo muestra y no decide nada. Cada acto indica además si puede realizarse desde el estado actual de la clave: un acto que el servidor marca como no aplicable no muestra resultado en vivo, porque sus veredictos describen un estado que la clave no puede alcanzar desde aquí.

La regla sigue NIST SP 800-57 Parte 1 (§7.3–§7.4): una clave retirada por una razón distinta de un compromiso puede seguir procesando los datos que ya protegió. Una limitación se declara: la plataforma no sabe cuándo se protegieron los datos, así que los protegidos durante una suspensión se leen como los anteriores. A una clave revocada o suspendida por SECURITY_COMPROMISE se le rechaza toda operación criptográfica, DECRYPT y VERIFY incluidas: §7.5 solo admite ese procesamiento bajo condiciones muy controladas, que la plataforma no puede certificar, así que ahí es más estricta que NIST.

Con el permiso de reactivación de claves, Reactivate levanta la espera sea cual sea su causa —incluido un compromiso de seguridad, cuando la investigación lo descarta—, devuelve la clave a su estado anterior y borra la causa, con la historia en la pista de auditoría. El cifrado y la firma vuelven con ese estado; la lectura sigue el veredicto del servidor, operación por operación, que puede decir se detiene en algunas versiones si una versión fue revocada por un compromiso. Si se confirma un compromiso, revócala por compromiso de seguridad.

Con el permiso de revocación de claves, Revocar retira una clave de forma definitiva: ya no cifra ni firma, sea cual sea la causa, y nunca puede volver a estar activa. Una clave suspendida puede revocarse directamente, y tras revocarla su detalle sigue abierto para que la archives. Se revoca una sola vez: una clave ya revocada, archivada o pendiente de destrucción no puede revocarse de nuevo, porque eso reemplazaría su causa. Una clave suspendida por un compromiso de seguridad solo puede revocarse por esa causa, y el diálogo lo indica si eliges otra.

Revocar pide las mismas dos entradas obligatorias que Suspender, una causa y un motivo, y muestra la misma afirmación calculada por el servidor sobre qué hace la causa con las lecturas de esta clave. La regla es la misma: revocar por un compromiso de seguridad detiene el descifrado, la verificación y el recifrado o la refirma desde la clave en todas sus versiones; revocar por cualquiera de las otras cuatro no detiene esas operaciones históricas: la política de ciclo de vida de tu tenant sigue aplicándose y puede denegarlas por sí misma. No hay causa predeterminada.

Archivar, destruir y versiones de material

Destruir una clave es una cadena de pasos deliberados, y ninguna persona la completa sola:

Archivar una clave revocada, con el permiso de archivado de claves. Sus metadatos se conservan para cumplimiento. Archivar no registra ni pide causa propia, pero te pide escribir el identificador de la clave y dar un motivo, obligatorio y registrado en la auditoría: la clave conserva la causa de su revocación, y el diálogo la muestra con su consecuencia. Así, una clave revocada por un compromiso de seguridad sigue ilegible tras archivarla, y una revocada por otra causa la juzga la política de ciclo de vida de tu tenant, como antes.
Marcar para destrucción (Mark for destruction) una clave archivada, con el permiso de solicitud de destrucciones. Indicas un periodo de enfriamiento de 7 a 365 días, con el valor por defecto de tu tenant ya puesto, y das un motivo, obligatorio y registrado en la auditoría. La solicitud espera la aprobación de otra persona, en la pantalla de aprobaciones; hasta entonces nada de la clave cambia. Si algo todavía hace referencia a la clave, el diálogo lo indica, como se describe después de esta lista, y no te lo impide.
La aprobación inicia el periodo de enfriamiento: la clave queda pendiente de destrucción y su detalle indica cuándo se ejecuta. Cuando termina el periodo, la plataforma destruye la clave por sí misma. Se destruyen todas las versiones de material, así que los datos protegidos solo por esta clave ya no se pueden descifrar. La clave sale entonces de la lista; la vista Eliminadas la muestra en solo lectura, con su causa y sus fechas, y su identificador no vuelve a usarse.
Cancelar la destrucción (Cancel destruction) antes de que se ejecute devuelve la clave a archivada, y cada versión a su estado anterior, así que una versión revocada por un compromiso en la pestaña Lineage vuelve a estar revocada por esa causa, aunque la clave se haya revocado por otra. Requiere el permiso de cancelación de destrucciones. Una solicitud que aún espera aprobación se retira desde la pantalla de aprobaciones.

Destruir una clave pone fin, en el mismo paso, a todas las autorizaciones que la nombran: los intercambios criptográficos que aún no terminaron y los casos de uso internos que la usan se revocan, y cada uno registra que terminó por la destrucción de la clave y de qué clave se trataba; las concesiones de capacidad que la nombran se retiran. Ocurre tanto si se destruye la clave como su última versión de material. Un caso de uso se revoca por completo aunque nombre otra clave; esa otra clave no se destruye y no cambia en nada.

Todos los diálogos que solicitan una destrucción lo indican antes de que confirmes: Marcar para destrucción y la solicitud que destruye la última versión de material de la clave en la pestaña Lineage. Indican cuántos casos de uso internos e intercambios criptográficos que la referencian ahora se revocarán, sin mencionar un tipo que no tenga ninguno, y que las concesiones de capacidad que la nombran se retiran. Las cifras son una lectura, nunca una restricción.

Con el permiso de lectura de versiones de material, la pestaña Lineage del detalle de una clave muestra todas sus versiones con su estado y su algoritmo. Otros permisos te dejan revocar una versión RETIRED o PENDING_PRIMARY, con una causa obligatoria y un motivo; el servidor decide, según esa causa y tu política de ciclo de vida, qué puede seguir haciendo la versión. También te dejan solicitar la destrucción de una versión RETIRED, REVOKED o PENDING_PRIMARY y cancelarla: cuando otra persona la aprueba, la plataforma destruye la versión al terminar su periodo de enfriamiento.

Cómo se relaciona con otras pantallas

En un tenant STANDARD, la pestaña Access de una clave lista las concesiones que la nombran (permiso de listarlas), y Grant access crea una con esta clave elegida (permiso de crearlas). Un tenant SIMPLE autoriza el uso con casos de uso internos. En todo tenant, Referencias cuenta, una vez cada uno, los casos de uso internos, los intercambios no revocados ni vencidos y las concesiones independientes de cada clave; selecciónala para el desglose. Una concesión con comodín no nombra clave ni se cuenta. Solo sin referencias muestra las claves sin ninguna. La cifra nunca bloquea una acción.

Un tenant STANDARD autoriza a un actor a usar una clave mediante concesiones de capacidad, independientes o propias de un intercambio criptográfico, que nombran claves de este inventario; en la columna Referencias, una concesión independiente cuenta como concesión y una propia de un intercambio, como ese intercambio, nunca dos veces. Un caso de uso interno referencia una clave sin ser su dueño: revocarlo deja su clave aquí, y destruir una clave revoca los casos de uso que la usan.

Eliminar una aplicación puede archivar claves usadas solo por sus actores; la pantalla de aplicaciones indica cuáles. Las decisiones del ciclo de vida y las operaciones con una clave quedan en la pista de auditoría; su historial está en la pestaña Audit History, que requiere el permiso de lectura de la auditoría. Agrupa las operaciones por clave, pues un identificador puede haber sido de varias: una sección por clave con su vida útil y su número de operaciones, un aviso si más de una operó e Identidad no registrada para las que no nombran ninguna. Puedes limitarla a una clave.

En Audit History las filas van de la más reciente a la más antigua. Una fila administrativa dice qué cambió: una rotación se lee Rotación v1 → v2 con su causa (Manual, Programada, Umbral de uso o Límite de uso alcanzado) y quién la inició, una rotación fallida da su motivo, y los demás cambios listan cada campo antes → después. Realizada por nombra al planificador, al sistema o a un usuario, y conserva el identificador, que puedes copiar. Un cambio en el detalle de la clave puede tardar unos segundos en aparecer; la pestaña se relee sola, y Actualizar la lee cuando lo pides.

Dónde leer más

Estas páginas están en inglés: