Permitir o prohibir algoritmos
Decide con qué algoritmos puede un tenant crear claves, importarlas y rotar hacia ellos, dándole al tenant una plantilla de disponibilidad de algoritmos propia o dejando que siga la política del despliegue.
Quién puede hacerlo
Un superadministrador de plataforma. La tarea se compone de dos decisiones, y solo el superadministrador de plataforma tiene ambas: si el tenant puede elegir sus propias políticas, y qué plantilla lleva el tenant.
Un administrador del tenant o un gestor de claves del tenant tiene el permiso para aplicar y restablecer plantillas en la propia pantalla Políticas del tenant, pero el servidor lo admite solo después de que el superadministrador de plataforma haya permitido que el tenant cambie sus políticas. Hasta entonces, la tarjeta Disponibilidad de algoritmos del tenant sigue ofreciendo Cambiar plantilla, y aplicar se rechaza con No tienes permiso para realizar esta acción. Seguir la política del despliegue no se ofrece. Un miembro del tenant sin el permiso de escritura ve la tarjeta en modo de solo lectura, con Esta política la gestiona el administrador de tu plataforma. Contáctalo para solicitar cambios.
Antes de empezar
- El despliegue tiene una política de disponibilidad de algoritmos. Una política de tenant nunca puede admitir un algoritmo que la política del despliegue no admite.
- Decide quién elegirá la plantilla: tú, para el tenant, o los propios administradores del tenant.
- El catálogo de plantillas es fijo: eliges una plantilla, no escribes una política a mano.
Pasos
- Para permitir que los administradores del tenant elijan su propia plantilla, o para impedirlo:
- Abre Tenants y selecciona el nombre del tenant para abrir su detalle.
- En la pestaña Detalles, en Políticas, activa o desactiva Permitir que el administrador del tenant cambie estas políticas. El interruptor cubre a la vez la política de algoritmos, la política de rotación y el calendario de rotación.
- Para asignar tú una plantilla al tenant:
- Abre Políticas de plataforma, pestaña Políticas, y busca el tenant en Políticas por tenant.
- Selecciona la celda del tenant en la columna Algoritmo. La celda es un botón solo mientras el tenant tiene una política propia; un tenant que sigue la política del despliegue muestra una insignia en su lugar. Activar el interruptor del paso 1 da al tenant una política propia que sigue al despliegue.
- En Selecciona una plantilla de disponibilidad de algoritmos, selecciona una tarjeta de plantilla. Ver detalles muestra su contenido completo, y Aplicada actualmente marca la plantilla vigente.
- Selecciona Aplicar. Solo se habilita cuando seleccionas una plantilla distinta de la actual.
- Una vez que el tenant puede cambiar sus políticas, un administrador del tenant o un gestor de claves hace lo mismo desde el lado del tenant: abre Políticas, selecciona Cambiar plantilla en la tarjeta Disponibilidad de algoritmos, elige una plantilla y selecciona Aplicar. Seguir la política del despliegue en la misma tarjeta renuncia a la plantilla propia del tenant.
Qué ves cuando funcionó
- El interruptor confirma Configuración de excepción actualizada, o Sin cambios: la configuración ya estaba así.
- Aplicar una plantilla cierra el diálogo con un aviso de política de algoritmos actualizada (Algorithm policy updated), y la celda o la tarjeta nombra la plantilla nueva.
- Seguir la política del despliegue indica qué política sigue ahora el tenant: la plantilla del despliegue por su nombre, o la política personalizada del despliegue.
La siguiente creación, importación o rotación de claves del tenant se comprueba contra la política nueva. Las claves y los datos que ya existen no cambian; la columna Conformidad del inventario de claves del tenant marca las claves cuyo algoritmo la política ya no admite.
Cuando la aprobación por quórum somete el cambio a aprobación, todavía no cambia nada: la consola muestra En espera de aprobación con un enlace a la solicitud, y el cambio se ejecuta cuando se aprueba la solicitud.
Si falla
| Qué ves | Causa | Qué hacer |
|---|---|---|
| No tienes permiso para realizar esta acción. en la pantalla Políticas del tenant | El superadministrador de plataforma no permitió que el tenant cambie sus políticas, o la persona no tiene el permiso de escritura | Un superadministrador de plataforma activa el interruptor, o asigna la plantilla desde Políticas de plataforma |
| No tienes permiso para cambiar esta configuración. junto al interruptor | No eres superadministrador de plataforma | Pídeselo a un superadministrador de plataforma |
| La política excede el subconjunto del despliegue en: … | La plantilla admite algoritmos o valores que la política del despliegue no admite | Elige una plantilla más restrictiva, o amplía primero la política del despliegue |
| Se rechaza el interruptor porque no hay ninguna política del despliegue que seguir | La instalación no tiene ninguna política de algoritmos del despliegue activa | Establece la política del despliegue en Políticas de plataforma y vuelve a intentarlo |
| No se pudieron cargar las plantillas | No tienes el permiso para leer las plantillas de políticas | Pide un rol que lo tenga |
| En espera de aprobación | La aprobación por quórum somete este cambio a aprobación | La solicitud se ejecuta cuando sus aprobadores la aprueban |
Sin la consola
| Superficie | Cómo |
|---|---|
| CLI de gestión de claves | Ningún comando |
| Admin SDK | No disponible |
| API | PATCH /api/v3/admin/tenants/{tenantId}/policies/override-flag con allowsTenantOverride (operación patchOverrideFlag); PUT /api/v3/admin/tenants/{tenantId}/policies/algorithm-availability con templateId (operación setAlgorithmPolicy); DELETE /api/v3/admin/tenants/{tenantId}/policies/algorithm-availability para seguir la política del despliegue (operación deleteAlgorithmPolicy) |
Relacionado
- Políticas: las tarjetas de política del tenant y cómo se aplica una plantilla o se renuncia a ella.
- Políticas de Plataforma: las políticas del despliegue y la tabla por tenant.
- Gestión de Tenants: el detalle del tenant, donde está el interruptor.
Esta página está en inglés: