Skip to content

Establecer la política y el calendario de rotación

Elige las reglas que debe cumplir una rotación de claves en tu tenant, y con qué frecuencia rotan automáticamente las claves del tenant que no tienen un intervalo propio.

Quién puede hacerlo

Un administrador del tenant o un gestor de claves del tenant, una vez que el superadministrador de plataforma permitió que el tenant cambie sus políticas. Un superadministrador de plataforma siempre puede hacerlo.

Las dos partes son tarjetas distintas en la pantalla Políticas del tenant:

  • Rotación de algoritmos es una plantilla: si el algoritmo nuevo debe servir para las mismas operaciones, si se rechaza un algoritmo más débil, si una clave puede pasar entre algoritmos clásicos y post-cuánticos, y qué estándares debe cumplir el destino.
  • Calendario de rotación es el intervalo de rotación automática que heredan las claves del tenant.

Sin el permiso de escritura, una tarjeta es de solo lectura. Sin la delegación, Cambiar plantilla y Editar el calendario se siguen ofreciendo, y el servidor rechaza el cambio.

Antes de empezar

  • El despliegue tiene una política de rotación y un calendario de rotación. Un intervalo del tenant nunca puede ser más largo que el máximo del despliegue, y se rechaza una plantilla que el despliegue no admite.
  • Una clave con un intervalo propio lo conserva: el calendario del tenant solo se aplica a las claves que no tienen uno.

Pasos

  1. Abre Políticas.
  2. Para cambiar las reglas de rotación:
    1. En la tarjeta Rotación de algoritmos, selecciona Cambiar plantilla.
    2. En Selecciona una plantilla de rotación de algoritmos, selecciona una tarjeta de plantilla. Ver detalles muestra su contenido completo.
    3. Selecciona Aplicar.
  3. Para cambiar el intervalo de rotación automática:
    1. En la tarjeta Calendario de rotación, selecciona Editar el calendario.
    2. Selecciona Rotar automáticamente cada, escribe un número entero y elige la unidad. Desmárcalo para no establecer ningún intervalo automático para el tenant.
    3. Selecciona Guardar.
  4. Para renunciar a la política propia del tenant, selecciona Seguir la política del despliegue en la tarjeta. En la tarjeta Calendario de rotación, confirma con Seguir la política del despliegue en el diálogo.

Un superadministrador de plataforma también puede asignar la plantilla de rotación desde Políticas de plataforma, en la columna Rotación de Políticas por tenant.

Qué ves cuando funcionó

  • Una plantilla nueva cierra el diálogo con un aviso de política de rotación actualizada (Rotation policy updated), y la tarjeta la nombra.
  • Un intervalo guardado muestra Calendario de rotación guardado. La tarjeta muestra el Intervalo, el Origen (Predeterminado del tenant o Predeterminado del despliegue) y la versión vigente desde que se guardó.
  • Seguir al despliegue muestra El tenant vuelve a seguir el calendario del despliegue para el calendario, y nombra la política del despliegue que el tenant sigue ahora para la plantilla.

Las reglas de rotación se aplican desde la siguiente rotación. El intervalo nuevo se aplica a cada clave del tenant que no tiene un intervalo propio.

Cuando la aprobación por quórum somete los cambios de la política de rotación a aprobación, todavía no cambia nada: la consola muestra En espera de aprobación con un enlace a la solicitud.

Si falla

Qué ves Causa Qué hacer
No tienes permiso para realizar esta acción. El superadministrador de plataforma no permitió que el tenant cambie sus políticas, o no tienes el permiso Pide a un superadministrador de plataforma que delegue la política
La política excede el subconjunto del despliegue en: … La plantilla admite más que la política de rotación del despliegue Elige una plantilla más restrictiva
El intervalo es más largo que el máximo del despliegue, de … El despliegue limita todos los calendarios Elige un intervalo más corto
El intervalo es más largo que el criptoperíodo máximo de … que establecen los paquetes de cumplimiento … Un paquete de cumplimiento al que tiene derecho el tenant limita el criptoperiodo Elige un intervalo más corto
El despliegue está bloqueado por cumplimiento: se rechaza un intervalo más largo que su valor predeterminado de … El despliegue está bloqueado por cumplimiento Elige un intervalo que no supere el predeterminado del despliegue
El intervalo es más corto que el intervalo mínimo que admite este despliegue El intervalo está por debajo del mínimo del despliegue Elige un intervalo más largo
El calendario cambió desde que se leyó. Otra persona lo cambió mientras tanto Revisa el calendario actual y repite tu cambio

Sin la consola

Superficie Cómo
CLI de gestión de claves Ningún comando. ankasecure-km rotation replace-schedule establece el calendario de una clave, no el del tenant
Admin SDK No disponible
API PUT /api/v3/admin/tenants/{tenantId}/policies/rotation con templateId (operación setRotationPolicy); DELETE /api/v3/admin/tenants/{tenantId}/policies/rotation (operación deleteRotationPolicy); PUT /api/v3/admin/tenants/{tenantId}/policies/rotation-schedule con triggers (operación replaceTenantRotationSchedulePolicy); DELETE /api/v3/admin/tenants/{tenantId}/policies/rotation-schedule (operación deleteTenantRotationSchedulePolicy)

Relacionado