Skip to content

Conceder o revocar el acceso de una parte a un intercambio

Da a una identidad de una aplicación de cualquiera de los dos extremos de un intercambio el derecho a ejecutar las operaciones elegidas con las claves elegidas, o quítale ese derecho. Cada concesión es una concesión de capacidad que pertenece al intercambio y se coloca en el contexto del intercambio.

Quién puede hacerlo

Una persona que tiene a la vez el permiso para actualizar intercambios y el permiso para crear concesiones de capacidad (para agregar una) o para revocarlas (para revocar una). La consola muestra Agregar concesión y Revocar concesión solo a esa persona. Un administrador del tenant y un gestor de claves del tenant tienen ambos. Un superadministrador de plataforma lo hace desde dentro del tenant, donde la consola actúa como administrador del tenant.

Antes de empezar

  • El intercambio existe y no terminó. Una concesión se agrega al intercambio guardado: un intercambio nuevo necesita primero sus extremos y su contexto.
  • La identidad es un actor criptográfico de la aplicación del origen o del destino. El editor ofrece solo esos actores.
  • Las claves que nombra la concesión existen en el tenant. Para una concesión de nuevo cifrado o de nueva firma, cada clave de destino debe estar activa.
  • Una concesión autoriza solo mientras el intercambio está activo. Si se agrega a un intercambio en borrador, listo o suspendido, queda en espera hasta la activación o la reanudación. Un intercambio activo o suspendido conserva al menos una concesión vigente.
  • Una concesión que agregaría un permiso de operación a su actor necesita una persona que pueda asignar roles a los actores.

Pasos

  1. Abre Intercambios criptográficos y selecciona la fila del intercambio. El intercambio se abre en el editor.
  2. Abre el paso Concesiones.
  3. Para agregar una concesión:
    1. Selecciona Agregar concesión.
    2. Elige el Actor criptográfico.
    3. Elige Qué autoriza la concesión: Operaciones sobre una clave, luego marca las Operaciones y elige la Clave; o Volver a cifrar o a firmar, luego elige la Operación y uno o más Pares de claves (origen → destino), seleccionando Agregar par para cada par adicional.
    4. De forma opcional, elige una Política de restricciones (opcional) para limitar la concesión.
    5. Selecciona Agregar concesión.
  4. Para revocar una concesión, selecciona Revocar concesión en su fila, escribe el nombre del actor (o el identificador de la concesión cuando el actor no tiene nombre) para confirmar, indica un Motivo y selecciona Revocar concesión.

Qué ves cuando funcionó

La concesión aparece en el paso Concesiones con su actor, sus operaciones, sus claves, la versión de su política de restricción y el estado Vigente. En un intercambio activo autoriza de inmediato; en cualquier otro intercambio espera la activación o la reanudación.

Una concesión revocada muestra el estado Revocada: su actor pierde la concesión de inmediato, y el intercambio conserva sus demás concesiones. Revocar no se puede deshacer; una concesión nueva empieza desde la versión actual de la política, con contadores nuevos.

Si falla

Qué ves Causa Qué hacer
Elige primero los extremos y el contexto; las concesiones se agregan al intercambio guardado. El intercambio todavía no se guardó Completa primero Extremos y Contexto de intercambio
Ninguna aplicación de los extremos tiene un actor todavía. Ningún actor pertenece a una aplicación de ninguno de los extremos Crea un actor para una de las aplicaciones de los extremos
El actor no pertenece a una aplicación de ninguno de los extremos de este intercambio. El actor no es un participante Elige un actor de la aplicación del origen o del destino
Esta concesión se superpondría con una concesión vigente del mismo actor. No se escribió nada. El actor ya tiene una concesión vigente que se superpone con esta; se listan las concesiones en conflicto Cambia la concesión nueva, o revoca primero la existente
Este actor pertenece al caso de uso criptográfico interno <id> y solo actúa para él, así que no puede recibir autoridad aquí. Elige un actor que no pertenezca a ningún caso de uso. Un caso de uso interno es el propietario del actor Elige otro actor
Esta es la última concesión vigente del intercambio. Un intercambio activo o suspendido conserva al menos una: agrega otra concesión primero o revoca el intercambio. Revocar dejaría el intercambio sin ninguna concesión vigente Agrega otra concesión primero, o revoca el intercambio
Activar este intercambio añadiría permisos de operación a su actor, y tu cuenta no puede concederlos. Debe activarlo un administrador que pueda asignar roles a los actores. La concesión agregaría un permiso de operación a su actor, y no puedes asignar roles a los actores Pide ayuda a un administrador que pueda asignar roles a los actores
No se ofrecen Agregar concesión ni Revocar concesión El intercambio terminó, o no tienes los permisos de concesión Clona un intercambio terminado; o pregunta a un administrador del tenant

Sin la consola

Superficie Cómo
CLI de gestión de claves ankasecure-km exchanges add-grant --id <uuid> --actor-id <uuid> --capability <capability> --asset-kid <kid> (o --pair <sourceKid:targetKid>, --constraint-policy-id <uuid>, --body-file); exchanges revoke-grant --id <uuid> --grant-id <uuid> --reason <text>
Admin SDK ExchangeOperations.createGrant(UUID, ExchangeGrantRequest), ExchangeOperations.revokeGrant(UUID, UUID, RevokeExchangeGrantRequest)
API POST /api/v3/admin/exchanges/{id}/grants (operación createExchangeGrant); POST /api/v3/admin/exchanges/{id}/grants/{grantId}/revoke (operación revokeExchangeGrant)

Relacionado