Destruir una clave o cancelar su destrucción
Solicita que la plataforma destruya una clave archivada después de un periodo de espera, o detén una destrucción programada antes de que se ejecute. Ninguna persona puede destruir una clave por sí sola: la solicitud siempre espera la aprobación de otra persona.
Quién puede hacerlo
Un administrador del tenant, un gestor de claves del tenant o un superadministrador de plataforma que trabaja dentro del tenant. Solicitar una destrucción y cancelarla son permisos distintos, y la consola ofrece Marcar para destrucción y Cancelar destrucción solo donde el servidor indica que puedes realizar esa acción sobre esa clave. La aprobación la da una persona distinta de quien la solicita.
Antes de empezar
- Solo se puede marcar para destrucción una clave archivada. Revócala y archívala primero.
- Cuando se ejecuta la destrucción, se destruyen todas las versiones de material de la clave, así que los datos protegidos solo por esta clave ya no se pueden descifrar. Su identificador nunca se vuelve a usar en tu tenant.
- Destruir la clave termina todas las autorizaciones que la nombran: se revocan los intercambios criptográficos que todavía no terminaron y los casos de uso internos que usan la clave, y se retiran las concesiones de capacidad que la nombran.
- Decide el periodo de espera: de 7 a 365 días, contados desde la aprobación. Déjalo vacío para usar el valor predeterminado de la política de ciclo de vida de tu tenant.
Pasos
Para solicitar la destrucción:
- Abre Inventario de claves.
- Selecciona Marcar para destrucción en la fila de la clave, o abre la clave con Ver detalles y selecciona Marcar para destrucción al pie de sus detalles.
- En Marcar para destrucción, lee qué ocurre. Si algo todavía referencia la clave, el diálogo indica cuántos casos de uso internos e intercambios criptográficos se revocarán y que se retiran las concesiones de capacidad que la nombran. Los totales son una lectura; no te detienen.
- De forma opcional, establece el Periodo de espera (días).
- Escribe el Motivo. Es obligatorio y se registra en la auditoría.
- Selecciona Marcar para destrucción.
Para cancelar una destrucción programada:
- Abre Inventario de claves.
- Selecciona Cancelar destrucción en la fila de la clave, o en los detalles de la clave. Se ofrece en una clave pendiente de destrucción.
- En Cancelar destrucción, lee qué ocurre después de la cancelación y luego selecciona Cancelar destrucción.
Una solicitud que todavía espera la aprobación no se cancela de esta forma. La persona que la envió la retira:
- Abre Inventario de claves y abre la clave con Ver detalles.
- En Destrucción, selecciona Abrir la solicitud de quórum en la solicitud marcada como En espera de aprobación.
- Selecciona Retirar.
Qué ves cuando funcionó
Después de la solicitud, el diálogo muestra En espera de aprobación con un enlace a la solicitud de quórum. Nada de la clave cambia hasta que otra persona apruebe la solicitud. Los detalles de la clave muestran la solicitud en Destrucción, con las aprobaciones dadas y las necesarias.
Una vez aprobada, la clave aparece como pendiente de destrucción, empieza el periodo de espera, y la fila y los detalles de la clave muestran cuándo se ejecuta la destrucción. En Destrucción, los detalles de la clave listan cada orden de destrucción que tuvo la clave, de la más reciente a la más antigua: qué destruye, su periodo de espera, cuándo se aprobó y desde cuándo la clave queda destruida, y su estado, Programada, Destruida, Cancelada o Fallida, con la fecha de ese resultado. Cuando termina el periodo, la plataforma destruye la clave por su cuenta. La clave sale entonces de la lista; la vista de eliminadas la muestra en solo lectura, con su causa y sus fechas.
Después de un retiro, la consola indica Solicitud retirada, y la solicitud sale de Destrucción, que lista solo las solicitudes que todavía esperan. Después de una cancelación, la consola indica Destrucción cancelada y la orden aparece como Cancelada. La clave vuelve a aparecer como archivada, y cada versión vuelve al estado que tenía antes de la aprobación: una versión revocada por un compromiso de seguridad vuelve a estar revocada por esa causa. Una destrucción posterior necesita una solicitud nueva y una aprobación nueva. Ambos actos quedan registrados en la auditoría.
Si falla
| Qué ves | Causa | Qué hacer |
|---|---|---|
| No se puede marcar para destrucción, con el motivo del servidor | La clave no está archivada, o te falta el permiso | Archiva primero la clave |
| Introduce un número entero de días entre 7 y 365. | El periodo de espera está fuera de sus límites | Corrígelo, o déjalo vacío |
| Se rechaza la solicitud porque no hay otro aprobador habilitado | Tu tenant no tiene ningún aprobador habilitado aparte de ti | Pide a un administrador del tenant que habilite a otra persona para aprobar |
| Se rechaza la solicitud porque ya hay una en espera | Ya hay una solicitud de destrucción de esta clave esperando la aprobación | Sigue la solicitud existente |
| La solicitud aprobada termina en FAILED | Se restauró, se agregó o se destruyó una versión de la clave antes de la aprobación | Envía una solicitud nueva |
| No se puede cancelar la destrucción | La clave no está pendiente de destrucción: su solicitud todavía espera la aprobación, no hay ninguna destrucción programada, o ya se ejecutó | Retira una solicitud en espera desde su solicitud de quórum; una destrucción que ya se ejecutó no se puede cancelar |
Sin la consola
| Superficie | Cómo |
|---|---|
| CLI de gestión de claves | ankasecure-km destruction request-key --kid <id> --reason <text> [--cooling-off-days <7..365>]; ankasecure-km destruction cancel-key --kid <id> cancela solo una destrucción programada, después de su aprobación y antes de que se ejecute; una solicitud que envió la carga de trabajo y que todavía espera la aprobación se retira con ankasecure-km quorum-requests cancel --id <uuid>; las órdenes, con ankasecure-km destruction orders --kid <id> |
| Admin SDK | DestructionOperations.requestKey(String kid, MarkForDestructionRequest request); DestructionOperations.cancelKey(String kid); QuorumRequestOperations.cancel(UUID requestId) para retirar una solicitud en espera |
| API | POST /api/v3/admin/tenants/{tenantId}/keys/{kid}/mark-for-destruction (operación markKeyForDestruction), que responde 202 con la solicitud de quórum; POST /api/v3/admin/tenants/{tenantId}/keys/{kid}/cancel-destruction (operación cancelKeyDestruction) |
Aprobar o rechazar una solicitud de destrucción solo se hace en la consola.
Relacionado
- Inventario de Claves: qué muestra la pantalla y cada decisión que tomas en ella.
- Aprobación por quórum: quién debe aprobar una solicitud de destrucción.