Skip to content

Importar Clave

Para qué sirve esta pantalla

Importar Clave trae material de claves que ya existe en otro lugar — la clave pública de una contraparte, un keystore de un sistema del que estás migrando — bajo el control de este tenant. Tiene dos pestañas: Import from JSON e Import from Keystore.

Son dos operaciones distintas, no dos formatos de archivo para la misma. Import from JSON admite solo material de clave pública; ahí nunca se acepta una clave privada. Import from Keystore es la única vía por la que una clave privada entra en este tenant, y es la consecuente: la mitad privada de la clave cruza hacia la plataforma y, una vez dentro, ya no se puede volver a sacar.

A partir de ese momento, una clave importada es una clave más. Aparece en el inventario de claves con su origen registrado como importada, y todas las decisiones de su ciclo de vida — rotar, suspender, revocar, archivar, destruir — se toman allí, no aquí.

Qué debe existir antes

La pantalla se ofrece cuando tienes el permiso de importación de clave pública o el permiso de importación de keystore. Cada pestaña sigue su propio permiso: una pestaña cuyo permiso no tienes sigue visible pero deshabilitada, con el texto emergente Tu rol no incluye esta importación, y la pantalla se abre en una pestaña que puedes usar.

  • El permiso de importación de clave pública, para la pestaña Import from JSON.
  • El permiso de importación de keystore, para la pestaña Import from Keystore. El análisis de solo lectura de esa pestaña exige el mismo permiso que la importación.
  • Un backend de protección de claves vinculado a tu tenant, solo para la pestaña de keystore: toda clave privada se sella bajo una clave de cifrado de claves antes de almacenarse, así que sin backend vinculado la importación se rechaza. La pestaña JSON no almacena material privado y no necesita backend.
  • Un tenant cuyo estado de ciclo de vida siga permitiendo operaciones sobre claves. Las dos importaciones lo comprueban; el análisis de solo lectura del keystore, no.
  • Una licencia de despliegue vigente. Sin ella se rechazan ambas importaciones y también el análisis del keystore.

Ninguna de las dos importaciones está disponible para un operador de plataforma que trabaja dentro de una sesión de soporte en el tenant. Ese rechazo se levanta antes de leer nada, así que no cambia nada.

Decisiones que tomas aquí

Import from JSON — una clave pública

Sube un archivo .json que describa una clave. La consola solo comprueba que el archivo se interpreta y que lleva kid, kty y alg; las demás decisiones son del servidor.

  • kid es el identificador que la clave mantendrá toda su vida. Una clave vigente con ese mismo identificador y material público distinto es un conflicto, no una sobrescritura.
  • Operaciones de clave: solo se aceptan las públicas — encrypt, verify, wrapKey, deriveKey — y solo las que el algoritmo admite. Pedir decrypt, sign o unwrapKey se rechaza, porque aquí no hay clave privada que las ejecute.
  • Algoritmo: debe ser uno que admita la política de algoritmos de tu tenant. Una clave simple lleva publicKey en Base64; una clave compuesta nombra un emparejamiento del catálogo de este despliegue y aporta una clave pública por componente.
  • La clave se crea activa, con su origen registrado como importada.

Import from Keystore — claves privadas y certificados

Sube un archivo PKCS#12 (.p12, .pfx) o JKS (.jks). El formato se detecta por los propios bytes del archivo, no por su extensión. El límite de tamaño predeterminado es de 20 MB y un operador puede cambiarlo; la contraseña está limitada a 4 KB.

  • Key ID Prefix es obligatorio y pasa a ser el identificador base. Admite letras, dígitos y los caracteres . _ -, hasta 255 caracteres, y no puede estar formado solo por puntos (., ..).
  • Un keystore con una sola clave privada la almacena bajo ese prefijo sin cambios. Con varias, cada clave se almacena como el prefijo seguido de su alias. Un certificado de confianza sin clave privada se almacena como el prefijo, luego -trust-, y luego su alias.
  • Keystore Password es obligatoria en esta pantalla antes de que analice el archivo.
  • Analyze Keystore es una vista previa de solo lectura: abre el keystore, informa de una fila por alias, y no importa, ni sella, ni audita, ni persiste nada.

Un archivo PKCS#7 solo se convierte cuando cada firmante y cada destinatario es una clave de este tenant importada aquí con su mitad privada. Un certificado importado solo sirve para verificar: nunca firma y nunca se cifra hacia él. Por eso un tercero del que solo conoces el certificado — un cofirmante, un destinatario externo — hace que el archivo no sea convertible, porque la conversión necesita la clave privada de cada firmante y de cada destinatario; por eso tampoco se convierte un archivo dirigido solo a otros. Importar el certificado no cambia eso.

Compruébalo antes de convertir: el análisis de migración lista cada actor del archivo con su propósito en recommendations.requiredKeys, y una conversión intentada de todos modos se rechaza nombrando cada actor que falta en unresolvedActors. Si el archivo no es convertible, conserva el PKCS#7 original: sigue siendo la prueba de lo que firmó el tercero y de a quién se dirigió el contenido.

Elegir un propósito para cada alias

El paso 2 pregunta para qué se usará cada clave. El propósito queda fijado para toda la vida de la clave, y por eso el asistente te hace tomar esta decisión antes de confirmar nada.

  • La plataforma deduce un propósito del KeyUsage X.509 de cada certificado y lo preselecciona. Un alias marcado como Choice required no tiene ninguno deducible, y la importación no arranca hasta que lo indiques.
  • Dual (two identities) no crea una clave de doble propósito. Proyecta un par de claves sobre dos claves de propósito único, <kid>-enc y <kid>-sig, creadas juntas.
  • Los certificados se validan en el modo con el que está configurado el despliegue, que esta pantalla nunca elige. En el modo estricto — el predeterminado, y al que se recurre si esa lectura falla — un alias con un certificado vencido o inválido falla y los demás continúan.
  • La importación es una sola confirmación. Si el backend de protección de claves la rechaza a mitad de camino, el paquete entero se deshace en lugar de dejar unas claves almacenadas y otras no.

A qué te compromete una importación

Una importación es un acto de custodia. Lo que sigue es lo que la plataforma hace con el material, y lo que no hará después.

  • El keystore y su contraseña viajan como partes separadas de una misma subida. La contraseña se maneja como bytes en todo el recorrido: no se escribe en ningún registro, cuerpo de error ni asiento de auditoría, y no se almacena.
  • Cada clave privada se sella con AES-256-GCM bajo la clave de cifrado de claves de tu tenant antes de escribir nada, y los bytes en claro se borran de la memoria justo después. Ninguna clave privada se escribe en claro en ningún momento.
  • La mitad privada no vuelve a salir. La exportación devuelve solo la clave pública y sus metadatos, para toda clave, sea cual sea su origen. Conserva tu propia copia del keystore hasta estar seguro de que la importación es la que querías.
  • Una clave importada vence en la fecha de vencimiento de su certificado o, si no lleva certificado, un año después de la importación. Eso lo puedes cambiar luego desde el inventario de claves.
  • Importar no autoriza a nadie a usar la clave. El uso se autoriza aparte, y hasta entonces la clave no es utilizable.

Qué rechaza la plataforma

Cada rechazo nombra su propia causa, y las páginas de Dónde leer más las explican una por una.

  • Una contraseña incorrecta, un archivo corrupto, un formato que no es ni PKCS#12 ni JKS, un keystore que supera el límite de tamaño, o una contraseña que supera los 4 KB.
  • Un alias cuyo propósito no se puede deducir y no se ha declarado; y Dual declarado sobre un alias que lleva certificado pero no clave privada.
  • Un identificador que ya tiene una clave vigente. En una importación de keystore ese alias se informa como omitido y los demás continúan; en una importación JSON con material público distinto es un conflicto.

Cómo se relaciona con otras pantallas

La clave importada aterriza en el inventario de claves, que es donde se gestiona toda su vida y donde se muestra su conformidad con la política de algoritmos de tu tenant:

Nadie puede usar una clave importada hasta que una autorización la nombre. En un tenant STANDARD, esa autorización es una concesión de capacidad:

Cada importación, y cada importación rechazada, queda registrada con tu cuenta. El análisis de solo lectura no registra nada:

Dónde leer más

Estas páginas están en inglés: