Skip to content

Rotar o revocar la credencial de una carga de trabajo

Reemplaza la clave pública de una carga de trabajo por otra nueva sin interrumpirla, o detén una clave de inmediato cuando hay dudas sobre ella.

Quién puede hacerlo

Un administrador del tenant, o un superadministrador de plataforma que trabaja dentro del tenant en un despliegue de nube privada o local. En un despliegue SaaS, la plataforma rechaza los cambios de un administrador de la plataforma en las cargas de trabajo de un tenant. La consola muestra Rotar y Revocar solo a quien tiene el permiso para gestionar las credenciales de las cargas de trabajo, y solo en una carga de trabajo que no está revocada.

Antes de empezar

  • Para rotar, pide la clave pública nueva a quien ejecuta la carga de trabajo, como JWK. Nunca recibes la clave privada.
  • Solo se puede rotar una clave Activa. Una clave En retiro todavía se puede revocar.
  • Rotar se rechaza durante una sesión de acceso de soporte.

Pasos

  1. Abre Cargas de trabajo administrativas y selecciona el nombre de la carga de trabajo.
  2. Abre la pestaña Claves.
  3. Para rotar una clave:
    1. Selecciona Rotar en su fila.
    2. Pega la clave nueva en Clave pública (JWK).
    3. Establece Periodo de gracia (horas): durante cuánto tiempo se sigue aceptando la clave anterior, de 0 a 720. Si lo dejas vacío, es 24. Un periodo de gracia de 0 revoca de inmediato la clave anterior y rechaza todos los tokens que tiene la carga de trabajo.
    4. De forma opcional, establece Válida hasta para la clave nueva.
    5. Selecciona Rotar.
  4. Para revocar una clave:
    1. Selecciona Revocar en su fila.
    2. Escribe el ID de clave de la clave para confirmar y completa un Motivo. El motivo se registra en la auditoría.
    3. Selecciona Revocar clave.

Qué ves cuando funcionó

Después de una rotación, la consola confirma "Clave {kid} registrada como reemplazo.". La clave nueva está Activa y se acepta de inmediato; la clave anterior está En retiro y muestra hasta cuándo se sigue aceptando. Actualiza la carga de trabajo para que firme con la clave nueva antes de que termine el periodo de gracia.

Después de una revocación, la consola confirma "Clave revocada.". La clave está Revocada: se rechazan de inmediato todas las aserciones firmadas con ella y todos los tokens que la carga de trabajo ya tiene. Las demás claves de la carga de trabajo siguen funcionando. Ambos cambios se registran en la auditoría.

Si falla

Qué ves Causa Qué hacer
Solo se puede rotar una credencial ACTIVE; esta credencial ya está en retiro o revocada ("Only an ACTIVE credential can be rotated. This credential is already rotating out or revoked.") La clave que estás rotando no está Activa Rota una clave activa, o registra una clave nueva
Esta clave pública ya está registrada; genera un par de claves nuevo y registra su clave pública ("This public key is already registered. Generate a new key pair and register its public key.") La clave nueva ya está registrada, en esta o en otra carga de trabajo Pide un par de claves nuevo
"Esta clave contiene material de clave privada, así que se borró y no se envió. Pega solo la clave pública." La JWK pegada lleva un miembro privado Pide solo la clave pública
Se rechaza el periodo de gracia Está fuera del rango de 0 a 720 horas Escribe un valor dentro del rango, o déjalo vacío
"No coincide. Escríbelo exactamente como se muestra, incluidas las mayúsculas." El ID de clave escrito no coincide con el de la clave Escribe el ID de clave exactamente como se muestra
Se rechaza la rotación con el mensaje de la regla del subconjunto ("Refused by the subset rule:"), seguido de los ámbitos que no tienes No tienes todos los ámbitos que tiene la carga de trabajo Pide ayuda a un administrador que los tenga
La carga de trabajo administrativa está revocada, lo que es terminal; registra una carga de trabajo nueva ("The administrative workload is revoked, which is terminal. Register a new workload instead.") La propia carga de trabajo está revocada No hay nada que rotar; crea una carga de trabajo nueva si la necesitas

Sin la consola

Superficie Cómo
API POST /api/v3/admin/tenants/{tenantId}/workloads/{workloadId}/credentials/{kid}/rotate (operación rotateTenantWorkloadCredential)
API POST /api/v3/admin/tenants/{tenantId}/workloads/{workloadId}/credentials/{kid}/revoke (operación revokeTenantWorkloadCredential)

Relacionado