Skip to content

Ciclo de Vida de Claves

Para qué sirve esta pantalla

La política de ciclo de vida de claves decide qué operaciones puede seguir realizando una clave en cada estado de su vida. Son dos cuadrículas de celdas ALLOW y DENY, una fila por operación y una columna por estado, y en esta pantalla lees y editas la política de tu tenant.

El Inventario de Claves muestra un estado por clave. La política ve dos: el identificador de la clave, llamado alias, con los estados ACTIVE, SUSPENDED, RETIRED y DELETED_LOGICAL; y cada versión de material bajo él, con PENDING_PRIMARY, PRIMARY, RETIRED, REVOKED, PENDING_DESTRUCTION y DESTROYED. Una operación se permite solo cuando la celda del alias y la celda del material son ambas ALLOW; una celda ausente cuenta como DENY.

La plataforma aplica la política en cada solicitud de cifrado, descifrado, firma, verificación, recifrado y refirma de la API criptográfica, después de comprobar la concesión de capacidad; un recifrado o una refirma comprueba la clave de origen en la fila DECRYPT o VERIFY y la clave de destino en la fila REENCRYPT o RESIGN.

Las operaciones de archivos en streaming no consultan la política: una clave suspendida las sigue atendiendo, y una clave sin material vigente se rechaza como no encontrada. Una solicitud denegada se responde como prohibida, redactada como una denegación de concesión, sin decir qué celda la denegó.

Qué debe existir antes

A la pantalla se llega desde la tarjeta Key Lifecycle del centro de políticas, y se ofrece por igual a los tenants SIMPLE y STANDARD.

  • El permiso de lectura de la política de ciclo de vida, que es lo que muestra las cuadrículas. Sin él, la pantalla indica que no tienes permiso para ver la política.
  • El permiso de escritura de la política de ciclo de vida, que habilita los botones DEFAULT y STRICT, las celdas y Save policy. Sin él, las cuadrículas son de solo lectura.
  • El permiso de eliminación de la política de ciclo de vida, que muestra Reset to DEFAULT.
  • Una política de ciclo de vida del despliegue almacenada. Es el techo contra el que se comprueba toda política de tenant, y la plataforma la almacena por su cuenta: una instalación nueva arranca con la plantilla DEFAULT integrada ya puesta, así que no hay nada que preparar aquí antes de tu primer guardado. Deployment ceiling missing responde a un despliegue que no tiene ninguna política almacenada, lo que es una avería que conviene reportar y no un estado por el que pase una instalación.

Decisiones que tomas aquí

Leer las dos cuadrículas frente a tus claves

Cada decisión de ciclo de vida en el Inventario de Claves fija los dos estados que la política lee:

  • Una clave activa es ACTIVE con su material vigente en PRIMARY.
  • Suspender una clave pone el alias en SUSPENDED; sus versiones de material no cambian.
  • Revocar una clave pone el alias en RETIRED y todas las versiones de material en REVOKED.
  • Archivar una clave pone el alias en RETIRED y todas las versiones de material en RETIRED.
  • La aprobación de la solicitud de destrucción de una clave pone todas las versiones de material en PENDING_DESTRUCTION; el alias sigue en RETIRED.
  • Destruir una clave pone el alias en DELETED_LOGICAL y todas las versiones de material en DESTROYED, y el material destruido se rechaza antes de consultar la política.
  • Rotar una clave deja el alias en ACTIVE, pone la versión nueva en PRIMARY y la anterior en RETIRED.

La cuadrícula del alias también tiene filas para ROTATE, SUSPEND, RETIRE y REVOKE, y la del material para ROTATE y REVOKE. Se almacenan y se comprueban contra el techo como cualquier otra fila, pero hoy ninguna operación las lee: la rotación y las acciones de ciclo de vida siguen una regla fija propia. Las listas de transiciones que una política también contiene no se muestran aquí y no se consultan.

Elegir DEFAULT o STRICT

DEFAULT y STRICT cargan en las cuadrículas las dos plantillas integradas de la plataforma; no se almacena nada hasta que guardas.

Con DEFAULT, una clave activa puede hacerlo todo. Una clave suspendida, revocada o archivada, una clave marcada para destrucción y las versiones anteriores de una clave rotada todavía pueden descifrar y verificar, y nada más, hasta que su material se destruye, con una regla de la plataforma que la política no puede relajar: a una clave suspendida o revocada por un compromiso de seguridad también se le deniegan esas lecturas, diga lo que diga esta cuadrícula (consulta Inventario de claves — Suspender y reactivar).

Con DEFAULT, los datos ya protegidos siguen siendo legibles en todos los estados menos la eliminación, para toda causa salvo un compromiso de seguridad.

Con STRICT, solo el material vigente de una clave activa puede hacer algo, descifrar y verificar incluidos. Suspender, revocar o archivar una clave sella lo que protegía, y rotarla también: lo que se cifró con la versión anterior ya no se puede descifrar salvo que se haya recifrado antes. Elige STRICT solo cuando sellar al rotar es lo que quieres.

Editar una celda

Con el permiso de escritura, pulsar una celda la alterna entre ALLOW y DENY, y el nombre de la plantilla pasa a CUSTOM. Save policy se habilita en cuanto algo ha cambiado y envía la política completa: las dos cuadrículas reemplazan la política almacenada de tu tenant, y a partir de entonces tu tenant tiene una política propia aunque hayas guardado una plantilla sin cambios.

Mantenerse dentro del techo del despliegue

Tu tenant puede poner DENY en cualquier celda, y ALLOW solo donde la política del despliegue también lo permite. Un guardado que supera el techo se rechaza, y la pantalla enumera cada celda infractora, como alias · DECRYPT on RETIRED; vuelve a poner cada una en DENY o elige una plantilla más estricta.

Una fila que la política del despliegue no declara cuenta como DENY en todas las columnas, así que aplicar una plantilla integrada puede rechazarse en un despliegue cuya política almacenada tiene menos filas que la plantilla. Eso es un techo que tu administrador de la plataforma decidió estrechar, no algo con lo que arranque una instalación nueva: las plantillas integradas caben bajo el techo que recibe un despliegue recién creado, y allí tanto DEFAULT como STRICT se aplican sin que nadie prepare nada.

Restablecer

Con el permiso de eliminación, Reset to DEFAULT elimina la política propia de tu tenant después de que confirmas. Tu tenant pasa entonces a seguir la política del despliegue, sea cual sea: el diálogo y el mensaje de confirmación dicen DEFAULT, pero si el administrador de la plataforma ha almacenado STRICT o un techo personalizado, eso es lo que se aplica. La pantalla no dice si tu tenant tiene una política propia o hereda; la insignia de plantilla nombra la política que está en vigor.

Cuándo surte efecto una política guardada

Una vez confirmado un guardado o un restablecimiento, la política se escribe en la caché de políticas y se publica una invalidación al servicio criptográfico, que descarta su copia y lee la nueva política en la siguiente operación.

No hay reinicio ni periodo de espera: una operación que una política más estricta deniega se rechaza en la siguiente solicitud. Si la invalidación no llegara, el servicio criptográfico conserva su copia durante la vida de la caché de políticas, cinco minutos de forma predeterminada. La tarjeta Key Lifecycle del centro de políticas puede mostrar el nombre de la plantilla anterior hasta un minuto después de que vuelvas.

Cómo se relaciona con otras pantallas

La pantalla se abre desde el centro de políticas y vuelve a él:

Los estados a los que están ligadas las cuadrículas los fijan las acciones de ciclo de vida del Inventario de Claves. Los diálogos de suspender y archivar de esa pantalla describen lo que se detiene; con DEFAULT, descifrar y verificar es lo que sobrevive:

En un tenant STANDARD una operación necesita tanto una concesión de capacidad sobre la clave como una política de ciclo de vida que la permita en el estado actual de la clave; cualquiera de las dos por sí sola la rechaza:

Dónde leer más

Estas páginas están en inglés: