Skip to content

Programar la rotación automática de una clave

Haz que una clave rote por sí sola: en un intervalo, cuando sus usos alcanzan su límite de uso de advertencia, cuando se agota su límite de uso, o lo que ocurra primero.

Quién puede hacerlo

Un administrador del tenant, un gestor de claves del tenant o un superadministrador de plataforma que trabaja dentro del tenant. Quien puede leer los calendarios de rotación ve la sección Rotación automática de la clave; solo quien puede cambiar los calendarios de rotación tiene sus interruptores y Editar. Los demás ven cada ajuste como activado o desactivado.

Antes de empezar

  • Una condición de uso necesita el límite correspondiente en la clave: Al alcanzar el límite de uso de advertencia necesita un límite de uso de advertencia, y Al agotar el límite de uso necesita un límite de uso máximo. Si faltan, establécelos primero editando los metadatos de la clave.
  • Un intervalo puede venir de la propia clave, o heredarse del valor predeterminado del tenant o del despliegue. Un intervalo por debajo del mínimo del despliegue se rechaza antes de enviar nada.
  • La clave debe estar en un estado que se pueda rotar; si no, la sección indica que la clave no se puede rotar en su estado actual.

Pasos

  1. Abre Inventario de claves y selecciona Ver detalles en la clave.
  2. En la pestaña Detalles, busca Rotación automática.
  3. Activa Rotar esta clave automáticamente.
    • Si ya hay un intervalo o una condición de uso, la rotación automática queda activa de inmediato.
    • Si no hay ninguno, la sección abre las condiciones y te pide que elijas una. No se guarda nada hasta que lo hagas.
  4. En Cuándo rotar, elige las condiciones:
    • Para dar a la clave un intervalo propio, selecciona Editar junto al intervalo, marca Usar un intervalo propio para esta clave, escribe la Cantidad y elige la Unidad, y luego selecciona Guardar. Si no está marcado, la clave sigue el intervalo heredado, y el editor indica cuál.
    • Activa Al alcanzar el límite de uso de advertencia, Al agotar el límite de uso, o ambos. Cada interruptor se guarda en cuanto lo cambias.
  5. Para detener la rotación automática, desactiva Rotar esta clave automáticamente y confirma con Desactivar. Las condiciones conservan sus ajustes, que se muestran en pausa, hasta que la vuelvas a activar. Desactivar la última condición también desactiva la rotación automática y pide la misma confirmación.

Qué ves cuando funcionó

La consola indica Calendario de rotación guardado, y la frase bajo el interruptor indica qué rotará la clave, por ejemplo que rota en cada intervalo o al alcanzar el límite de uso de advertencia, lo que ocurra primero. La sección muestra el Intervalo efectivo, la Próxima rotación y la Tolerancia: el margen después del momento previsto dentro del cual el programador inicia la rotación, para que las claves previstas a la vez no roten al mismo tiempo. Una rotación nunca empieza antes del momento previsto.

La fila Próxima rotación en los detalles de la clave, y la columna Próxima rotación de Inventario de claves, muestran la fecha nueva en tu zona horaria de visualización. Cada rotación automática aparece en la pestaña Calendario de rotación con su estado y su resultado, y en la pestaña Linaje con la causa Programada, Umbral de uso o Límite de uso alcanzado. Cada rotación, automática o no, reinicia el conteo y el intervalo a partir de la versión nueva.

Si falla

Qué ves Causa Qué hacer
El intervalo más corto que admite este despliegue es el mínimo que se muestra El intervalo está por debajo del mínimo del despliegue Elige un intervalo más largo
Valor actual: un intervalo en una unidad que este despliegue ya no admite El intervalo guardado usa horas o minutos que el despliegue ya no permite Elige días, meses o años antes de guardar
No se puede activar una opción de uso La clave no tiene límite de uso de advertencia, o no tiene límite de uso máximo Establece el límite en la clave y luego activa la opción
Guardar sigue deshabilitado con una nota que indica que este intervalo es la única condición de rotación Quitar el intervalo propio de la clave la dejaría sin nada con qué rotar, y el servidor no indica si un intervalo heredado ocuparía su lugar Activa primero otra condición
El intervalo se acorta, con una nota El máximo del despliegue, o el criptoperíodo máximo que indica un paquete de cumplimiento para esa clase de clave, es más corto que el intervalo que elegiste Nada; la clave rota con el intervalo acortado
Se rechaza un cambio El servidor rechazó el calendario; el motivo se muestra junto al control que usaste Corrige lo que indica el motivo e inténtalo de nuevo

Sin la consola

Superficie Cómo
CLI de gestión de claves ankasecure-km rotation replace-schedule --kid <id> --body-file <json>; léelo con ankasecure-km rotation schedule --kid <id>
Admin SDK RotationOperations.replaceSchedule(String kid, KeyRotationScheduleRequest request)
API PUT /api/v3/admin/tenants/{tenantId}/keys/{kid}/rotation-schedule (operación replaceKeyRotationSchedule)

Relacionado