Rotar y revocar una clave administrada por el cliente

Este artículo es la tercera parte de una serie de tutoriales de cuatro partes. La primera parte ofrece una introducción a las claves administradas por el cliente, sus características y las consideraciones a tener en cuenta antes de habilitar una en su registro. En la segunda parte, aprenderá a habilitar una clave administrada por el cliente mediante la CLI de Azure, el Azure Portal o una plantilla de Azure Resource Manager. Este artículo le guiará por la rotación, actualización y revocación de una clave administrada por el cliente.

Rotación de una clave administrada por el cliente

Para rotar una clave, puede actualizar la versión de la clave en Azure Key Vault o Azure Key Vault Managed HSM, o crear una clave nueva. Al rotar la clave, puede especificar la misma identidad que utilizó para crear el Registry.

Opcionalmente, puede:

• Configure una nueva identidad asignada por el usuario para acceder a la clave.
• Habilitar y especificar la identidad asignada por el sistema al registro.

Crear o actualizar la versión de la clave mediante la CLI de Azure

Para crear una nueva versión de clave en un almacén de claves, ejecute el comando az keyvault key create :

# Create new version of existing key
az keyvault key create \
  --name <key-name> \
  --vault-name <key-vault-name>

Para crear una nueva versión de clave en Managed HSM, use el parámetro --hsm-name:

az keyvault key create \
  --name <key-name> \
  --hsm-name <managed-hsm-name> \
  --kty RSA-HSM \
  --ops wrapKey unwrapKey

Si configura el Registro para detectar actualizaciones de la versión de clave, la clave administrada por el cliente se actualiza automáticamente en un plazo de una hora, tanto si la clave se almacena en Key Vault como en HSM administrado.

Si configura el Registro para la actualización manual de una nueva versión de la clave, ejecute el comando az acr encryption rotate-key. Pase el nuevo identificador de clave y la identidad que desea configurar.

Para actualizar manualmente una versión de clave administrada por el cliente, tiene tres opciones:

• Rote la clave y use un id. de cliente de una identidad administrada.

Si usa una clave de otro almacén de claves, compruebe que la identidad tiene los getpermisos , wrapy unwrap . Para HSM administrado, compruebe que la identidad tiene el rol Managed HSM Crypto Service Encryption User en el ámbito de clave.

az acr encryption rotate-key \
  --name <registry-name> \
  --key-encryption-key <new-key-id> \
  --identity <client ID of a managed identity>

• Gire la clave y use una identidad asignada por el usuario.

Antes de usar la identidad asignada por el usuario, compruebe que se le han asignado los permisos de Key Vault necesarios o el rol RBAC local de HSM administrado.

az acr encryption rotate-key \
  --name <registry-name> \
  --key-encryption-key <new-key-id> \
  --identity <id of user assigned identity>

• Gire la llave y use una identidad asignada por el sistema.

Antes de usar la identidad asignada por el sistema, compruebe que se le hayan asignado los permisos de Key Vault necesarios o el rol RBAC local de HSM administrado.

az acr encryption rotate-key \
  --name <registry-name> \
  --key-encryption-key <new-key-id> \
  --identity [system]

Cree o actualice la versión de la clave mediante el Azure Portal

Use la configuración de Cifrado del registro para actualizar la configuración de la clave y la identidad de Key Vault o HSM administrado para una clave administrada por el cliente.

Por ejemplo, para configurar una nueva tecla:

1. En el portal, vaya al registro.

2. En Configuración, seleccione Cifrado>Cambiar clave.

   

3. En Cifrado, elija una de las siguientes opciones:

   • Elija Seleccionar en Key Vault y, a continuación, seleccione un almacén de claves o HSM administrado existente y una clave. Seleccione Crear nuevo para crear un almacén de claves y una clave. La clave que se selecciona no está versionada y permite la rotación automática de la clave.
   • Seleccione Especificar URI de clave y proporcione directamente un identificador de clave de Key Vault o de HSM administrado. Puede proporcionar un URI de clave con versión (para una clave que se debe rotar manualmente) o un URI de clave sin versión (lo que permite la rotación automática de claves).

4. Complete la selección de claves y, a continuación, seleccione Guardar.

Revocar una clave administrada por el cliente

Puede revocar una clave de cifrado administrada por el cliente quitando el acceso de la identidad del Registro a la clave o eliminando la clave.

Revocar el acceso a una clave de un Key Vault

Para cambiar la política de acceso de la identidad administrada que usa el registro, ejecute el comando az-keyvault-delete-policy:

az keyvault delete-policy \
  --resource-group <resource-group-name> \
  --name <key-vault-name> \
  --object-id <identity-principal-id>

Si el key vault usa Azure RBAC en lugar de directivas de acceso, quite la asignación de roles Key Vault aplicable.

Revocar el acceso a una clave en Managed HSM

HSM administrado no admite directivas de acceso Key Vault. Quite la asignación de RBAC local para la identidad del Registro. Use el mismo ámbito en el que creó la asignación. En el ejemplo siguiente se quita una asignación con ámbito de clave:

az keyvault role assignment delete \
  --hsm-name <managed-hsm-name> \
  --role "Managed HSM Crypto Service Encryption User" \
  --assignee-object-id <identity-principal-id> \
  --scope /keys/<key-name>

Una asignación creada en /keys/<key-name> o /keys no se elimina con un comando que especifica /.

Eliminar la clave de cifrado

Para eliminar una clave de un almacén de claves, ejecute el comando az-keyvault-key-delete . Esta operación requiere el permiso keys/delete.

az keyvault key delete \
  --vault-name <key-vault-name> \
  --name <key-name>

Para eliminar una clave de Managed HSM, use el parámetro --hsm-name:

az keyvault key delete \
  --hsm-name <managed-hsm-name> \
  --name <key-name>

Siguientes pasos

Vaya al siguiente artículo para solucionar problemas comunes, como los errores al eliminar una identidad administrada, los errores 403 y la eliminación accidental de claves.