Políticas
Para qué sirve esta pantalla
El centro de políticas muestra las políticas criptográficas que rigen tu tenant, una tarjeta por cada una: Algorithm Availability, Algorithm Rotation, Key Lifecycle y, cuando el despliegue delega la decisión en los tenants, TSA Usage. Cada tarjeta nombra la plantilla en vigor. La disponibilidad y la rotación de algoritmos se eligen de un catálogo de plantillas predefinidas; la política de ciclo de vida de claves se edita en su propia pantalla; el uso de TSA es un selector de tres posiciones.
Toda política tiene dos niveles. El administrador de la plataforma fija una política para todo el despliegue en la pantalla de políticas de la plataforma, y tu tenant o bien la hereda o bien tiene una política propia. En esta pantalla se establece, se cambia o se abandona la política propia de tu tenant.
Qué debe existir antes
El centro de políticas se ofrece por igual a los tenants SIMPLE y STANDARD. Aparece en la navegación de quien tiene un permiso de lectura de las políticas del tenant, o de lectura o escritura de su política de ciclo de vida. Los roles integrados de gestor de claves y de administrador del tenant los tienen todos.
- El permiso de lectura de políticas efectivas carga las tarjetas de algoritmos, rotación y TSA. Sin él, las tarjetas de algoritmos y de rotación no muestran ningún nombre de plantilla, y la tarjeta de TSA no aparece en absoluto.
- Cambiar la plantilla de algoritmos o de rotación requiere el permiso de escritura de esa política; Seguir la política del despliegue en cualquiera de las dos tarjetas se ofrece con ese mismo permiso, mientras que el servidor exige el permiso de eliminación para ejecutarlo.
- Explorar el catálogo de plantillas requiere el permiso de lectura de plantillas de políticas; sin él, el diálogo informa de que no se pudieron cargar las plantillas.
- La tarjeta Key Lifecycle aparece solo con el permiso de lectura de la política de ciclo de vida.
- La tarjeta TSA Usage aparece solo con el permiso de lectura de uso de TSA y solo mientras el modo TSA del despliegue es OPTIONAL.
Decisiones que tomas aquí
Elegir una plantilla de disponibilidad de algoritmos
La política de disponibilidad de algoritmos decide con qué algoritmos tu tenant puede crear claves, importarlas y rotarlas. Con el permiso de escritura, Change template abre el catálogo: una tarjeta por plantilla con su descripción, la marca Currently applied en la que está en vigor y Preview details para inspeccionar su contenido completo. Apply se habilita solo cuando seleccionas una plantilla distinta de la actual.
Aplicar una plantilla convierte su contenido en la política de tu tenant. Reemplaza la política del despliegue para tu tenant; no se combina con ella.
El catálogo ofrece todas las plantillas que la plataforma incluye y no oculta las que la política del despliegue rechazaría: el servidor compara la política que la plantilla daría a tu tenant con la política efectiva del despliegue, dimensión por dimensión, y rechaza una plantilla que admita algo que el despliegue no admite. Una dimensión del despliegue que se deja vacía no restringe nada. Aquí no puedes escribir una política propia: un tenant solo puede elegir una plantilla.
Elegir una plantilla de rotación de algoritmos
La política de rotación fija las reglas que debe cumplir el destino de una rotación: si el nuevo algoritmo debe servir las mismas operaciones, si se rechaza un algoritmo más débil, si una clave clásica puede pasar a un algoritmo post-cuántico y a la inversa, si puede cambiar la familia de algoritmos y qué estándares debe cumplir el destino. Se aplica al rotar una clave en el Inventario de Claves. El diálogo del catálogo funciona exactamente igual que para la política de algoritmos, y la plantilla que aplicas reemplaza la del despliegue para tu tenant.
Cuando se rechaza un cambio
Cuando el administrador de la plataforma no ha permitido que tu tenant elija sus propias políticas, las tarjetas siguen ofreciendo Change template. Al aplicar, el servidor lo rechaza y el diálogo muestra No tienes permiso para realizar esta acción. Es la misma frase que aparece cuando falta un permiso, así que no te dice cuál de las dos causas es; el administrador de la plataforma sí puede decírtelo. En ese caso no se ofrece Seguir la política del despliegue.
Un despliegue cuyas políticas ha bloqueado el administrador de la plataforma no te lo impide por sí solo. El bloqueo fija la política propia del despliegue; que tu tenant pueda llevar una política propia es el permiso aparte del párrafo anterior. Con él, puedes aplicar una plantilla más restrictiva que la del despliegue en un despliegue bloqueado igual que en uno sin bloquear.
Una plantilla más amplia que la política del despliegue se rechaza de otra forma: el rechazo nombra cada dimensión en la que la plantilla se excede y los valores que el despliegue no admite. Elige una plantilla más restrictiva, o pide al administrador de la plataforma que amplíe la política del despliegue.
Volver a la política del despliegue
Seguir la política del despliegue se ofrece en una tarjeta cuya política es propia de tu tenant, y solo mientras el administrador de la plataforma permite que tu tenant elija sus propias políticas: sin ese permiso, restablecer desharía una política elegida para tu tenant, así que el servidor lo rechaza.
No elimina la política de tu tenant: la vincula a la política del despliegue, de modo que la política efectiva de tu tenant es la del despliegue desde la siguiente operación. Lo que la tarjeta muestra después depende de cómo esté fijada la política del despliegue:
- Cuando la política del despliegue es una plantilla, la política de tu tenant queda vinculada a esa plantilla, y la tarjeta la nombra. Un cambio posterior en el contenido de la plantilla llega a tu tenant sin otro restablecimiento. Si el administrador de la plataforma mueve después el despliegue a otra plantilla, tu tenant se queda en la que quedó vinculado; si la nueva es más restrictiva, al administrador de la plataforma se le muestra tu tenant como conflicto y decide.
- Cuando la política del despliegue se escribió a mano en lugar de elegirse de una plantilla, tu tenant recibe una instantánea de la política efectiva del despliegue como política personalizada propia, y la tarjeta dice que sigue la política personalizada del despliegue en lugar de nombrar una plantilla. Un cambio posterior de la política del despliegue no le llega; restablece de nuevo para tomarlo.
La tarjeta sigue ofreciendo Seguir la política del despliegue en ambos casos, y pulsarlo sobre una política que ya sigue la del despliegue no cambia nada. Se rechaza cuando la instalación no tiene política de despliegue para esa tarjeta, porque no hay nada que seguir.
Un tenant creado sin una plantilla propia empieza siguiendo la política del despliegue de la misma manera, en el estado que la política del despliegue dicte de los dos.
Abrir el editor de ciclo de vida de claves
La tarjeta Key Lifecycle muestra el nombre de la política de ciclo de vida en vigor y Open editor te lleva a su propia pantalla. No tiene cambio ni restablecimiento en línea; todo lo relativo a la política de ciclo de vida se decide allí.
Elegir el uso de TSA
La tarjeta aparece solo mientras el modo TSA del despliegue es OPTIONAL, que es el único modo en el que cada tenant decide si sus firmas llevan sello de tiempo. Muestra ON, OFF e inherit, y solo se puede cambiar cuando tu tenant ya tiene una selección propia: mientras tu tenant hereda, el selector está deshabilitado y la tarjeta lo indica. El administrador de la plataforma hace la primera selección para un tenant desde la pantalla de políticas de la plataforma; a partir de entonces puedes moverla entre ON y OFF, o elegir inherit para abandonarla.
Seleccionar ON se rechaza cuando no hay ninguna conexión de sellado de tiempo configurada para sellar para tu tenant; el rechazo se muestra debajo de las tarjetas.
Cuándo surte efecto una política guardada
Una plantilla que aplicas o restableces se escribe en la caché de políticas y se publica de inmediato una invalidación al servicio criptográfico, así que la siguiente creación, importación o rotación de claves se evalúa con la nueva política. La consola también refresca las listas de algoritmos y las previsualizaciones de rotación del Inventario de Claves. Los datos ya cifrados o firmados no se ven afectados por ninguna política de esta pantalla.
Cómo se relaciona con otras pantallas
Las políticas de aquí se aplican cuando se crean, importan y rotan claves en el Inventario de Claves. La columna Conformance de esa pantalla marca las claves cuyo algoritmo ya no cumple tu política de algoritmos:
La política de ciclo de vida de claves, que decide qué puede seguir haciendo una clave suspendida, revocada o archivada, tiene su propia pantalla:
Las políticas de restricción son otra cosa: limitan cómo se puede usar una concesión de capacidad, y se gestionan en su propia pantalla en los tenants STANDARD:
Dónde leer más
Esta página está en inglés: