Skip to content

Trasladar las claves del tenant a otro backend

Cambia lo que protege las claves de tu tenant cuando el tenant ya tiene claves: usa tu propio KMS, cámbialo, déjalo por el nivel ENTERPRISE gestionado por ANKATech, o acepta un traslado que exige un cambio de plan. Las claves se mueven en un traslado de custodia de claves, en una ventana que tú programas.

Quién puede hacerlo

Un administrador del tenant o un gestor de claves del tenant, o un superadministrador de plataforma que trabaja dentro del tenant. Los controles del traslado solo aparecen para quien tiene el permiso para gestionar la custodia de claves del tenant; todos los que pueden leer la custodia ven el traslado y su avance.

Antes de empezar

  • El tenant ya tiene una clave de cifrado de claves. Un tenant sin ella declara en cambio su primer backend: consulta Usar tu propio KMS (BYOK).
  • Para trasladarte a tu propio KMS, tu plan lo incluye, y existe una clave en tu propia cuenta de Cloud KMS con una credencial que puede usarla. Mantén utilizable tu clave actual hasta que el traslado termine.
  • El tenant no tiene abierto ningún otro traslado de custodia, y no está suspendido ni cerrado.
  • Un traslado en una ventana de mantenimiento pausa las operaciones de claves de tus aplicaciones: reciben un 503 temporal con una indicación para reintentar hasta que las claves estén activas en el destino. Planifica la ventana en consecuencia.
  • En un despliegue operado por el cliente, el operador de la plataforma delegó la protección de claves a tu tenant.

Pasos

  1. Abre Configuración en la navegación de tu tenant y luego la pestaña Integraciones.
  2. En la fila Protección de claves, selecciona su acción. El panel de protección de claves se abre sobre la página; el traslado está en Custodia de claves.
  3. Inicia el traslado, o retoma el que te espera:
    • Para iniciar uno, selecciona Usar tu propio KMS…, Cambiar KMS… o Cambiar la custodia…, la opción que ofrezca el panel.
    • Cuando un cambio de plan te da el nivel ENTERPRISE, el panel muestra Traslado de custodia pendiente: elige el destino de las claves. Selecciona Elegir el destino….
    • Cuando un cambio de plan te saca de tu propio KMS, el panel muestra Un cambio de plan necesita tu consentimiento. Ve al paso 6.
  4. En el diálogo, elige el destino:
    • Nivel ENTERPRISE, gestionado por ANKATech: no hay nada que configurar.
    • El KMS propio del tenant: elige el Servicio de gestión de claves y completa Clave y credencial de acceso. La clave se prueba con una operación de ida y vuelta antes de registrar el traslado.
    • Volver al backend del despliegue, en un despliegue operado por el cliente: confirma escribiendo el nombre del tenant.
  5. Selecciona Registrar el traslado. Todavía no se mueve nada: el panel muestra Traslado de custodia pendiente: programa su ventana.
  6. Selecciona Programar la ventana…, o Aceptar y programar… para un traslado fuera de tu propio KMS. En el diálogo:
    1. Elige el Inicio del traslado: con el aviso predeterminado, Ahora o En un momento elegido.
    2. Para un inicio anterior al aviso predeterminado, indica el Motivo para iniciar antes del aviso. Se registra en la auditoría.
    3. Para un traslado fuera de tu propio KMS, marca la confirmación de que ANKATech podrá desenvolver tus claves después del traslado.
    4. Selecciona Programar, o Aceptar y programar.
  7. Sigue el traslado en Pasos del traslado. Antes de que empiece todavía puedes seleccionar Cambiar el inicio…, Cambiar el destino… o Cancelar el traslado. Una vez iniciado, y hasta que las claves estén activas en el destino, puedes seleccionar el control para abortar, que vuelve a abrir el tenant sobre su origen.

Para volver a una clave de cifrado de claves que dejaste, abre Claves de cifrado de claves, selecciona Revertir… en la versión conservada y selecciona Programar la reversión. Una versión conservada sigue disponible durante 30 días. En un despliegue alojado por ANKA, el panel ofrece una reversión solo cuando se refiere a tu propio KMS: de vuelta a una clave propia que dejaste, o desde tu propia clave de vuelta al nivel ENTERPRISE que dejaste.

Qué ves cuando funcionó

La consola indica El traslado de custodia quedó programado. Mientras la ventana está en curso, el tenant está en mantenimiento: las listas y los detalles de claves se pueden seguir leyendo, y puedes iniciar sesión y seguir el avance. Cuando el traslado termina, Protegidas por nombra el destino, Claves de cifrado de claves lista la versión nueva como activa y la anterior como retirada, y Historial de custodia registra el traslado. Cada paso del traslado se escribe en tu registro de auditoría, y los administradores del tenant reciben una notificación cuando se programa la ventana y otra antes de que empiece.

Si falla

Qué ves Causa Qué hacer
El tenant ya tiene abierto un traslado de custodia Otro traslado está pendiente, programado o en curso Termina, cancela o aborta primero ese traslado
En este momento no se ofrece ningún servicio de gestión de claves a este tenant No se admite ningún servicio de KMS propio con el plan que pone en vigor el traslado Elige otro destino, o consulta a tu operador de la plataforma
La operación de ida y vuelta con la clave propia falla, y se muestra en el campo al que se refiere No se puede llegar a la clave o no se puede usar con la credencial Corrige la clave o la credencial y vuelve a registrar el traslado
La plataforma no puede trasladar las claves del tenant a ese destino El módulo HSM del nivel ENTERPRISE no sirve su token en este momento; no se colocó nada Consulta a tu operador de la plataforma y vuelve a registrar el traslado
Una ventana que empieza antes del aviso predeterminado de la plataforma necesita un motivo El inicio es anterior al aviso y no se indicó ningún motivo Indica el motivo, o empieza con el aviso predeterminado
Las claves ya están activas en el destino, así que el traslado solo puede terminar Intentaste abortar después del intercambio Deja que el traslado termine y luego revierte si es necesario
Esa clave de cifrado de claves ya no se conserva Terminó su conservación de 30 días, o la retiró una renovación de claves después de un compromiso No es posible revertir a esa versión
La custodia de un tenant suspendido o cerrado no se traslada El tenant no está activo Haz que primero se reactive el tenant
El traslado ya no está en un estado al que se aplique esta operación El traslado avanzó después de leer el panel Actualiza y lee en qué punto está

Sin la consola

Superficie Cómo
CLI de gestión de claves Ningún comando
Admin SDK No disponible
API POST /api/v3/admin/tenants/{tenantId}/key-custody/moves (operación createTenantKeyCustodyMove); PUT …/key-custody/moves/{moveId}/destination (operación replaceTenantKeyCustodyMoveDestination); PUT …/key-custody/moves/{moveId}/schedule (operación replaceTenantKeyCustodyMoveSchedule); POST …/key-custody/moves/{moveId}/cancel (operación cancelTenantKeyCustodyMove); POST …/key-custody/moves/{moveId}/abort (operación abortTenantKeyCustodyMove); POST …/key-custody/rollback (operación rollbackTenantKeyCustody)

Relacionado