Skip to content

Migrar un keystore completo (PKCS#12, JKS)

Traslada a tu tenant las claves privadas y los certificados de confianza de un keystore PKCS#12 o JKS de un sistema que dejas, en una sola operación, después de previsualizar lo que contiene el keystore.

Quién puede hacerlo

Un administrador del tenant, un gestor de claves del tenant o un superadministrador de plataforma que trabaja dentro del tenant. La consola ofrece Importar clave a quien tiene el permiso para importar una clave pública o el permiso para importar un keystore, y habilita la pestaña Importar desde keystore solo con el permiso para importar un keystore. La previsualización requiere el mismo permiso que la importación.

Antes de empezar

  • El tenant tiene un backend de protección de claves vinculado. Cada clave privada se sella con la clave de cifrado de claves del tenant antes de guardarse, así que sin un backend la importación se rechaza.
  • Hay una licencia del despliegue vigente, y el estado del ciclo de vida del tenant todavía permite las operaciones del ciclo de vida de las claves.
  • El keystore es un archivo PKCS#12 (.p12, .pfx) o JKS (.jks). Su formato se detecta a partir de los bytes del archivo, no de su extensión. Su tamaño está limitado por un ajuste del despliegue, 20 MB de forma predeterminada.
  • Cada entrada de clave privada lleva su cadena de certificados. Una entrada de clave secreta nunca se importa.
  • Conserva tu propia copia del keystore. Una clave privada que entra en la plataforma nunca vuelve a salir: la exportación devuelve solo material público.
  • En un despliegue SaaS, un operador de la plataforma que trabaja dentro de una sesión de suplantación con acceso de soporte no puede importar.

Pasos

  1. Abre Importar clave desde la navegación de tu tenant.
  2. Selecciona Importar desde keystore.
  3. En Paso 1 — Configuración:
    1. Prefijo del ID de clave: el Key ID base de las claves importadas. Es obligatorio. Acepta letras, dígitos, ., _ y -, hasta 255 caracteres, y no puede estar formado solo por puntos. Un keystore con una sola clave privada la guarda con el prefijo sin cambios; con varias, cada clave se guarda como el prefijo seguido de su alias. Un certificado de confianza se guarda como el prefijo, luego -trust- y luego su alias.
    2. Archivo del keystore: arrastra el keystore al área de carga, o selecciona el área para buscarlo.
    3. Contraseña del keystore: la contraseña del keystore. Déjala vacía para un keystore sin contraseña.
  4. Selecciona Analizar keystore. El análisis es una previsualización de solo lectura: no importa, no guarda ni registra nada.
  5. En Paso 2 — Revisar propósitos, revisa cada alias y su algoritmo, y establece su propósito. Un propósito queda fijo durante toda la vida de la clave.
    • Un propósito derivado del uso de clave del certificado viene preseleccionado.
    • Un alias marcado con Requiere elección no tiene un propósito derivable: elige Cifrar / descifrar o Firmar / verificar.
    • Dual (dos identidades), que solo se ofrece para un alias con clave privada, crea dos claves de un solo propósito a partir del mismo par de claves, <kid>-enc y <kid>-sig.
    • Selecciona Atrás para empezar de nuevo con otro archivo, prefijo o contraseña.
  6. Selecciona Importar claves. Solo se habilita cuando el prefijo está establecido y cada alias tiene un propósito.

Qué ves cuando funcionó

Resultados de la importación muestra un resultado global (ÉXITO TOTAL, ÉXITO PARCIAL, TODAS OMITIDAS, TODAS FALLIDAS o NINGUNA CLAVE PROCESADA) y hasta tres listas:

  • Importadas: cada Key ID nuevo con su tipo y su algoritmo.
  • Omitidas: las entradas cuyo Key ID ya está en uso por una clave vigente, con el motivo. Las demás continúan.
  • Fallidas: las entradas que no se pudieron importar, con el motivo.

Cada clave y cada certificado de confianza importados quedan registrados en la auditoría como su propia creación de clave. Selecciona Ver en el inventario para gestionar las claves, o Importar otro para empezar de nuevo. Importar no autoriza a nadie a usar las claves: el uso se autoriza por separado.

Si falla

Qué ves Causa Qué hacer
"Se requiere un prefijo de ID de clave: cada clave importada se nombra con él." El prefijo está vacío Escribe un prefijo
Se rechaza el análisis o la importación por una entrada no válida Contraseña incorrecta, un archivo dañado, un formato que no es PKCS#12 ni JKS, una contraseña de más de 4 KB, o un límite del keystore superado Corrige la entrada como indica el mensaje
"Este keystore contiene una entrada de clave secreta. Solo se importan claves privadas y certificados de confianza, así que no se importó nada. Elimina la entrada de clave secreta e inténtalo de nuevo." El keystore contiene una entrada de clave secreta Elimina la entrada e inténtalo de nuevo
"Este keystore contiene una clave privada sin su cadena de certificados, así que no se importó nada. Exporta la clave junto con su certificado e inténtalo de nuevo." Una entrada de clave privada no tiene cadena de certificados Exporta la clave con su certificado e inténtalo de nuevo
La previsualización indica que las derivaciones de clave del keystore ejecutan más iteraciones de las que puede ejecutar una importación El keystore supera el presupuesto de derivación de la importación, así que Importar claves sigue deshabilitado Divídelo en keystores más pequeños e importa cada uno
"No se encontraron alias importables en este keystore." El keystore no contiene nada que se pueda importar Comprueba que elegiste el archivo correcto
Se rechaza la importación nombrando un alias y la política de algoritmos La política de algoritmos del tenant no admite el algoritmo de una entrada, lo que rechaza toda la importación Pide a un administrador que revise la política de algoritmos, o elimina la entrada
Se rechaza la importación porque no hay ningún backend de protección de claves configurado El tenant no tiene ningún backend vinculado Un administrador del tenant configura el backend de protección de claves, y luego vuelves a intentarlo
Se rechaza el keystore por ser demasiado grande Supera el límite de tamaño de keystore del despliegue Divide el keystore, o pide a un administrador de la plataforma que aumente el límite
Se rechaza la importación por la licencia No hay ninguna licencia del despliegue vigente Un administrador de la plataforma instala una licencia válida
El servicio no está disponible temporalmente La plataforma está en su límite de cargas de keystore simultáneas; no se leyó ni se importó nada Vuelve a intentarlo en unos segundos

Sin la consola

Superficie Cómo
CLI de gestión de claves ankasecure-km keys analyze-keystore para previsualizar, luego ankasecure-km keys import-keystore, cada uno con --keystore-file <path> --metadata-file <json> y --password-stdin o --password-prompt. La contraseña nunca es el valor de una opción
Admin SDK KeyOperations.analyzeKeystore(Path, String, SecretChars) y KeyOperations.importKeystore(Path, String, SecretChars)
API POST /api/v3/admin/tenants/{tenantId}/keys/import-keystore/analyze (operación analyzeKeystore) y POST /api/v3/admin/tenants/{tenantId}/keys/import-keystore (operación importKeystore), ambas multipart/form-data con las partes metadata, keystore y una password opcional

Relacionado