Skip to content

Establecer la política de ciclo de vida de las claves

Decide qué operaciones puede seguir haciendo una clave en cada estado de su vida: por ejemplo, si una clave suspendida, revocada o archivada todavía puede descifrar y verificar.

Quién puede hacerlo

Un administrador del tenant o un gestor de claves del tenant, desde la pantalla Políticas del tenant. Un superadministrador de plataforma puede editar la política de ciclo de vida de cualquier tenant desde Políticas de plataforma.

La política de ciclo de vida no necesita delegación: un tenant siempre puede establecer la suya, mientras se mantenga dentro de la política del despliegue. Sin el permiso de escritura, las cuadrículas son de solo lectura, y Restablecer a DEFAULT solo aparece con el permiso de eliminación.

Antes de empezar

  • Conoce lo que hacen las dos plantillas integradas. DEFAULT mantiene los datos legibles después de que una clave se suspende, se revoca, se archiva o se rota: descifrar y verificar siguen permitidos hasta que el material se destruye. STRICT no permite nada salvo el material actual de la clave activa, así que rotar o retirar una clave sella lo que protegía, a menos que los datos se hayan vuelto a cifrar antes.
  • La política de ciclo de vida del despliegue es el techo: tu tenant puede establecer DENY en cualquier lugar, y ALLOW solo donde el despliegue también lo permite.

Pasos

  1. Abre Políticas y, en la tarjeta Ciclo de vida de claves, selecciona Abrir editor.
  2. Carga un punto de partida, o edita celda por celda:
    • Selecciona DEFAULT o STRICT junto a Plantilla para cargar esa plantilla en las cuadrículas. Todavía no se guarda nada.
    • Selecciona una celda de la cuadrícula Dimensión de alias (ciclo de vida del Stable KID) o de la cuadrícula Dimensión de material (ciclo de vida de la versión de material) para cambiarla entre ALLOW y DENY. La plantilla pasa entonces a CUSTOM. Una operación solo se permite cuando ambas cuadrículas la permiten.
  3. De forma opcional, establece Periodo de espera por defecto antes de la destrucción (días): el periodo que se usa cuando una solicitud de destrucción no indica ninguno, de 7 a 365 días. Déjalo vacío para heredar el del despliegue.
  4. Selecciona Guardar política.

Para renunciar a la política propia de tu tenant, selecciona Restablecer a DEFAULT y confirma con Restablecer a DEFAULT en ¿Restablecer la política de ciclo de vida?. Tu tenant pasa entonces a seguir la política de ciclo de vida del despliegue, sea cual sea la plantilla que use el despliegue.

Un superadministrador de plataforma abre Políticas de plataforma, selecciona la celda del tenant en la columna Ciclo de vida de Políticas por tenant y usa el mismo editor.

Qué ves cuando funcionó

  • Guardar muestra Política de ciclo de vida guardada, y la insignia de plantilla nombra la política que guardaste.
  • Restablecer muestra Política de ciclo de vida restablecida al DEFAULT del despliegue, y las cuadrículas se vuelven a cargar con la política vigente.

El servicio criptográfico aplica la política nueva desde la siguiente solicitud de cifrado, descifrado, firma, verificación, nuevo cifrado o nueva firma. No hay reinicio. La tarjeta Ciclo de vida de claves de Políticas puede mostrar el nombre de la plantilla anterior durante hasta un minuto.

Cuando la aprobación por quórum somete los cambios de la política de ciclo de vida a aprobación, todavía no cambia nada: la consola muestra En espera de aprobación con un enlace a la solicitud.

Si falla

Qué ves Causa Qué hacer
No se puede guardar: la política supera el techo del despliegue. y una lista de celdas como alias · DECRYPT on RETIRED Una celda permite lo que la política del despliegue deniega Vuelve a poner cada celda de la lista en DENY, o carga una plantilla más estricta
No se puede guardar: falta el techo de ciclo de vida del despliegue. El despliegue no tiene ninguna política de ciclo de vida guardada Infórmalo al administrador de la plataforma: una instalación siempre tiene una
Guardar política sigue deshabilitado No cambió nada, o el valor del periodo de espera está fuera del rango de 7 a 365 días Cambia una celda, o corrige el valor
No tienes permiso para ver la política de ciclo de vida. No tienes el permiso para leer la política de ciclo de vida Pide un rol que lo tenga
No se pudieron cargar las plantillas DEFAULT/STRICT. No se pudieron leer las plantillas Edita las celdas a mano, o vuelve a cargar más tarde

Sin la consola

Superficie Cómo
CLI de gestión de claves Ningún comando
Admin SDK No disponible
API PUT /api/v3/admin/tenants/{tenantId}/policies/lifecycle con la política completa (operación replaceTenantLifecyclePolicy); DELETE /api/v3/admin/tenants/{tenantId}/policies/lifecycle para seguir la política del despliegue (operación resetTenantLifecyclePolicy)

Relacionado

  • Ciclo de Vida de Claves: cómo se leen las dos cuadrículas frente a tus claves, y qué mantiene legible cada plantilla.

Esta página está en inglés: