Skip to content

Usar tu propio KMS (BYOK)

Haz que una clave de tu propio servicio de gestión de claves en la nube sea la clave de cifrado de claves que protege las claves de tu tenant, para que la plataforma no pueda desenvolverlas sin tu clave.

Quién puede hacerlo

Un administrador del tenant o un gestor de claves del tenant, o un superadministrador de plataforma que trabaja dentro del tenant. La consola ofrece los controles para declarar, vincular y rotar solo a quien tiene el permiso para gestionar el backend de protección de claves del tenant; sin él, cada control sigue visible e indica que tu rol no incluye ese permiso.

Antes de empezar

  • La edición efectiva de tu tenant es ENTERPRISE. En cualquier otra edición, el panel indica que BYOK requiere la edición ENTERPRISE, y solo un administrador de la plataforma puede asignarla.
  • Tu tenant todavía no tiene material de claves. Declarar un backend solo se ofrece antes de que exista la primera clave. Una vez que existen claves, usar tu propio KMS es un traslado de custodia de claves: consulta Trasladar las claves del tenant a otro backend.
  • Existe una clave en tu propia cuenta de Cloud KMS, y tienes una credencial que puede usarla. Los servicios entre los que puedes elegir son los que la plataforma admite para tu tenant (servicios de Cloud KMS como AWS KMS, Google Cloud KMS o Azure Key Vault); la consola ofrece exactamente la lista que devuelve la plataforma.
  • En un despliegue operado por el cliente, el operador de la plataforma delegó la protección de claves a tu tenant.

Pasos

  1. Abre Configuración en la navegación de tu tenant y luego la pestaña Integraciones.
  2. En la fila Protección de claves, selecciona su acción (Declarar, Gestionar o Revisar). El panel de protección de claves se abre sobre la página.
  3. Selecciona Configurar un backend BYOK para este tenant.
  4. En Backend, elige el servicio de gestión de claves.
  5. En Configuración del backend, completa los campos que la plataforma indica para ese servicio, como el identificador de clave y, donde el servicio lo necesita, su endpoint. En AWS KMS el identificador de clave es el ARN de la clave (arn:aws:kms:<region>:<account-id>:key/<key-id>); un ARN de alias se rechaza.
  6. En Credencial de acceso, escribe la credencial. Es de solo escritura: se sella y no se vuelve a mostrar nunca.
  7. De forma opcional, selecciona Comprobar estas coordenadas. La comprobación analiza las coordenadas y, donde el servicio tiene un endpoint, lo sondea; no guarda nada y no envía ninguna credencial.
  8. Selecciona Declarar este backend. La consola indica Backend declarado. Vincúlalo para finalizar el aprovisionamiento.
  9. De forma opcional, selecciona Probar conexión para comprobar que la plataforma llega a la clave declarada.
  10. Selecciona Vincular backend. La plataforma aprovisiona la clave de cifrado de claves de tu tenant sobre tu clave y la verifica. Mientras trabaja, el panel muestra Vinculando el backend; selecciona Actualizar estado para seguirlo.

Más adelante, para reemplazar la credencial sin cambiar la clave, selecciona Rotar credencial en el backend vinculado, escribe la credencial nueva en el diálogo Rotar credencial de acceso y confirma. La credencial nueva se prueba contra tu clave antes de reemplazar la actual.

Qué ves cuando funcionó

La consola indica Backend vinculado. El panel muestra el backend, su clave y su endpoint, la credencial como sellada con el resultado de su última comprobación, el Nivel de protección de claves derivado de tu backend y el Nivel de protección informado por tu proveedor. La declaración, la vinculación y cada rotación de credencial se escriben en tu registro de auditoría.

A partir de ahora, las claves que crees quedan protegidas con tu propia clave. La plataforma nunca rota tu clave: la rotas tú, o dejas que tu proveedor la rote automáticamente, y el panel indica cuál de las dos.

Si falla

Qué ves Causa Qué hacer
Se rechaza la declaración por no ser válida, nombrando una propiedad Falta un identificador de clave o un endpoint, está en el lugar equivocado o no es del proveedor Corrige la propiedad nombrada y guarda de nuevo; consulta Key Backend Declaration Invalid (en inglés)
BYOK requiere la edición ENTERPRISE La edición efectiva del tenant no es ENTERPRISE Pide a un administrador de la plataforma que asigne la edición ENTERPRISE
El control de configuración no está disponible porque ya existe material de claves El tenant ya tiene claves Usa tu propio KMS mediante un traslado de custodia de claves
Este despliegue no ofrece actualmente ningún backend de protección de claves que este tenant pueda declarar No se admite ningún servicio para tu tenant Pide a tu operador de la plataforma que revise los backends permitidos
La plataforma rechazó esta declaración La plataforma ya no admite ese servicio para tu tenant, o un valor no cumple las reglas del servicio Lee el motivo que se muestra; la lista de servicios se vuelve a cargar, así que elige de nuevo
Se rechaza un campo, por ejemplo el endpoint o el identificador de clave El valor no tiene la forma que exige el servicio, por ejemplo un ARN de alias de AWS donde se exige el ARN de la clave Corrige el campo y declara de nuevo
El backend rechazó la verificación de la vinculación No se pudo encontrar ni direccionar la clave declarada, o tu proveedor rechazó una operación hecha con la credencial Corrige la clave o la credencial con Cambiar backend y vuelve a vincular
El backend no pudo completar la verificación de la vinculación en este momento No se pudo contactar a tu proveedor o no respondió a tiempo Vuelve a intentar la vinculación más tarde
Se rechaza una rotación de credencial La credencial nueva no superó la prueba contra tu clave; la credencial actual sigue vigente Corrige la credencial y vuelve a rotar

Sin la consola

Superficie Cómo
CLI de gestión de claves Ningún comando
Admin SDK No disponible
API PUT /api/v3/admin/tenants/{tenantId}/key-backend/byok/driver-declaration (operación replaceByokDriverDeclaration), con el driver, sus propiedades y sus secretos; POST …/key-backend/byok/validate (operación validateTenantByokBackend); POST …/key-backend/byok/test (operación testByok); POST …/key-backend/byok/bind (operación bindByok); PATCH …/key-backend/byok/credential (operación updateByokCredential)

Relacionado