Skip to content

Rotar una clave ahora

Da a una clave una nueva versión de material con el mismo identificador, para que el nuevo cifrado y la nueva firma usen material de clave nuevo mientras las aplicaciones siguen usando el mismo nombre de clave.

Quién puede hacerlo

Un administrador del tenant, un gestor de claves del tenant o un superadministrador de plataforma que trabaja dentro del tenant. La consola ofrece Rotar solo a quien tiene el permiso para rotar claves, y solo en una clave cuyo estado admite la rotación según la política de ciclo de vida de tu tenant.

Antes de empezar

  • La clave está activa o vencida. Con la política de ciclo de vida predeterminada, una clave suspendida, revocada, archivada o pendiente de destrucción no se puede rotar, y la consola no ofrece Rotar en ella.
  • Rotar es la forma en que una clave vencida vuelve a proteger: la versión nueva empieza sin usos contados y con su propio vencimiento.
  • Decide si la versión nueva conserva el algoritmo actual o pasa a otro. Un algoritmo nuevo siempre está dentro del propósito de la clave, y la política de rotación de tu tenant puede rechazar un destino.
  • Si tu tenant tiene una política de aprobación por quórum, una rotación que hace la versión nueva más débil que la actual (exportable donde no lo era, o un límite de uso más alto o eliminado) espera la aprobación.

Pasos

  1. Abre Inventario de claves.
  2. Inicia la rotación de una de estas tres formas:
    • Selecciona Rotar en la fila de la clave.
    • Abre la clave con Ver detalles y selecciona Rotar al pie de sus detalles.
    • En los detalles de la clave, abre la pestaña Calendario de rotación y selecciona Rotar ahora.
  3. En Rotar clave, elige un modo de rotación. La consola muestra la versión actual y la versión que creará la rotación.
    • Mantener o actualizar conserva la configuración actual o pasa a un algoritmo más fuerte.
    • Según la intención pregunta por qué rotas y recomienda un destino.
    • Control total te permite establecer cada parámetro de la versión nueva.
  4. Completa cada paso y selecciona Continuar. En Mantener o actualizar:
    1. Estrategia: selecciona Mantener la configuración para rotar con el mismo algoritmo y los mismos parámetros, o la opción de actualización para elegir un algoritmo nuevo.
    2. Algoritmo (solo al actualizar): elige el destino. La consola comprueba cada destino frente a la política de rotación de tu tenant.
    3. Ciclo de vida: elige el vencimiento y los límites de uso de la versión nueva.
    4. Revisión: revisa la configuración actual y la nueva lado a lado.
  5. Si el destino es más débil que la clave actual y tu política lo permite, la revisión muestra Degradación de seguridad. Confirma que entiendes que la rotación reduce el nivel de seguridad de la clave.
  6. Selecciona Ejecutar rotación.

Qué ves cuando funcionó

La consola muestra Clave rotada correctamente: la versión nueva es ahora la versión actual de la clave con el mismo identificador, y la versión anterior queda retirada. La rotación queda registrada en la auditoría. Selecciona Ver clave para abrir la clave con su versión nueva.

En la pestaña Linaje, la versión nueva indica Manual como causa de rotación. La versión retirada sigue descifrando y verificando lo que protegió, así que los datos existentes siguen siendo legibles. Cualquier rotación reinicia el intervalo de rotación automática de la clave a partir de la versión nueva.

Si la rotación espera una aprobación por quórum, la consola muestra En espera de aprobación con un enlace a la solicitud de quórum, y nada cambia hasta que se den las aprobaciones.

Si falla

Qué ves Causa Qué hacer
No se ofrece Rotar El estado de la clave, o la política de ciclo de vida de tu tenant, no permite rotarla, o no tienes el permiso Revisa el estado de la clave; una clave suspendida debe reactivarse primero
No se pudo verificar la política de rotación. Ejecutar sigue desactivado hasta que se cargue el veredicto. La consola no pudo leer el veredicto de la política de rotación para el destino elegido Selecciona Reintentar en el paso de revisión
Se rechaza el destino de la rotación La política de rotación de tu tenant no admite ese algoritmo Elige otro destino, o pide a un administrador que revise la política de rotación
Se rechaza la rotación porque la clave cambió Otra rotación u otro cambio de la clave llegó antes; no se cambió nada Vuelve a abrir la clave para ver su versión actual y rótala de nuevo si todavía es necesario
Se rechaza la rotación porque no hay ningún backend de protección de claves configurado El tenant no tiene backend Un administrador del tenant configura el backend de protección de claves, y luego vuelves a intentarlo

Si se pierde la respuesta a una rotación, por ejemplo porque se corta la conexión, confirmar la misma rotación de nuevo en la misma ventana nunca rota la clave dos veces. Cerrar la ventana, o cambiar el destino, inicia una rotación nueva.

Sin la consola

Superficie Cómo
CLI de gestión de claves ankasecure-km rotation rotate --kid <id> --body-file <json>; agrega --idempotency-key <key> para que un reintento sea seguro
Admin SDK RotationOperations.rotate(String kid, RotationRequest request), o rotate(kid, request, idempotencyKey)
API POST /api/v3/admin/tenants/{tenantId}/keys/{kid}/rotations (operación rotateKey)

Relacionado