Protección de los certificados de Azure Key Vault

Los certificados de Azure Key Vault administran certificados X.509 y sus claves privadas asociadas para TLS/SSL, autenticación y firma de código. En este artículo se proporcionan recomendaciones de seguridad específicas de la administración de certificados.

Nota:

Este artículo se centra en los procedimientos de seguridad específicos de los certificados de Key Vault. Para obtener una orientación de seguridad completa sobre Key Vault, incluida la seguridad de red, la gestión de identidades y accesos y la arquitectura del almacén, consulte Proteja su Azure Key Vault.

Almacenamiento y formato de certificado

Los certificados de Key Vault combinan certificados X.509 con sus claves privadas y proporcionan funcionalidades de administración automatizadas:

  • Almacenar certificados, no secretos: use siempre el tipo de objeto de certificado de Key Vault en lugar de almacenar certificados como secretos. Los objetos de certificado proporcionan:

    • Administración automatizada del ciclo de vida
    • Integración con entidades de certificación (CA)
    • Funcionalidades de renovación automática
    • Control de versiones integrado

  • Usar entidades de certificación de confianza: integre con entidades de certificación compatibles para la emisión y renovación automatizadas:

    • DigiCert
    • GlobalSign
    • Otras CA integradas

    Consulte Integración de Key Vault con entidades de certificación.

  • Importar certificados externos correctamente: al importar certificados de orígenes externos:

    • Uso del formato PFX o PEM
    • Incluir la cadena de certificados completa
    • Protección de claves privadas durante la importación

    Consulte Importación de un certificado.

Para más información sobre los certificados, consulte Acerca de los certificados de Azure Key Vault.

Administración del ciclo de vida de los certificados

Implemente la administración adecuada del ciclo de vida de los certificados para evitar la expiración y las interrupciones:

  • Habilitar la renovación automática: configure la renovación automática para los certificados emitidos por entidades de certificación integradas. Para obtener más información, consulte Renovación de los certificados de Azure Key Vault.

  • Establezca la ventana de renovación antes de la expiración: configure el certificado para renovarlo antes de que expire. Una práctica habitual es desencadenar la renovación en aproximadamente 80% de la duración del certificado. Ajuste este valor en función de la latencia de emisión de su autoridad de certificación y de sus procesos de control de cambios.

  • Supervisar la expiración del certificado: use el evento de Event Grid Microsoft.KeyVault.CertificateNearExpiry, que se desencadena 30 días antes de su expiración, además de Microsoft.KeyVault.CertificateExpired y Microsoft.KeyVault.CertificateNewVersionCreated para realizar un seguimiento de todo el ciclo de vida. Para más información, consulte Azure Key Vault como origen de Event Grid.

  • Mantener un inventario de certificados: realice un seguimiento de todos los certificados, sus propósitos, las aplicaciones propietarias y las fechas de expiración.

Para obtener más información sobre la renovación, consulte Tutorial: Configuración de la autorización de certificados en Key Vault.

Control de acceso de certificados

Controlar quién puede acceder a los certificados y administrarlos:

  • Permisos de certificado independientes: use RBAC de Azure para conceder permisos de certificado específicos:

    • Usuario de certificados de Key Vault: Leer certificados y claves públicas.
    • Key Vault responsable de certificados: administre el ciclo de vida de los certificados (crear, importar, renovar, eliminar).
    • Operador de purga de Key Vault: elimine los certificados eliminados durante el período de retención de eliminación temporal.

    Para obtener la lista completa de roles integrados, consulte roles integrados de Azure para las operaciones del plano de datos de Key Vault.

  • Limitar el acceso administrativo: restringir las operaciones de administración de certificados solo al personal autorizado

  • Uso de identidades administradas: las aplicaciones deben acceder a certificados mediante identidades administradas en lugar de entidades de servicio con credenciales almacenadas

Consulte Proporcionar acceso a los certificados de Key Vault con RBAC de Azure.

Directivas de emisión de certificados

Configure directivas de certificado para aplicar los requisitos de seguridad:

  • Establezca los períodos de validez adecuados:

    • Certificados TLS de confianza pública: siga los actuales Requisitos básicos del CA/Browser Forum. La validez máxima de TLS pública se reduce a 200 días (efectivo en marzo de 2026) y está programada para disminuir aún más (100 días en 2027, 47 días en 2029). Planee las duraciones más cortas y la automatización completa de la renovación.
    • Certificados internos: establezca el período de validez en función de la política de la organización, manteniendo los períodos tan cortos como admita la automatización de la rotación.
    • Certificados de firma de código: siga los estándares del sector para la plataforma de destino.

  • Use algoritmos de clave segura:

    • RSA: mínimo de 2048 bits, 4096 bits para escenarios de alta seguridad
    • EC: curvas P-256, P-384 o P-521

  • Configurar nombres alternativos de sujeto (SAN): incluya todos los nombres DNS y direcciones IP necesarios.

  • Establecer extensiones de uso de claves: especifique el uso de clave adecuado (firma digital, cifrado de claves) y uso extendido de claves (autenticación de servidor, autenticación de cliente)

Para más información sobre las directivas de certificado, consulte Acerca de la creación de certificados de Azure Key Vault.

Supervisión y alertas de certificados

Realizar un seguimiento de las operaciones de certificado y los eventos de ciclo de vida:

  • Habilitar el registro de diagnóstico: registre todas las operaciones de certificado, entre las que se incluyen:

    • Creación e importación de certificados
    • Intentos de renovación de certificado (éxito/fallo)
    • Acceso al certificado (obtener certificado, obtener clave privada)
    • Eliminación de certificados

    Consulte Registro de Azure Key Vault.

  • Configuración de alertas de expiración: configure alertas de Azure Monitor para:

    • Los certificados expiran en un plazo de 30 días
    • Intentos de renovación fallidos
    • Acceso a certificados por identidades no autorizadas

    Consulte Supervisión y alertas de Azure Key Vault.

  • Revisión del uso de certificados: audite periódicamente qué aplicaciones y servicios usan cada certificado

Exportación y copia de seguridad de certificados

Proteja la disponibilidad del certificado al tiempo que mantiene la seguridad:

  • Control de las operaciones de exportación: limite quién puede exportar certificados con claves privadas (marca exportable en la directiva de certificados)

  • Habilitar la eliminación temporal: recupere certificados eliminados accidentalmente dentro del período de retención (de 7 a 90 días). Consulte Información general sobre la eliminación temporal de Azure Key Vault

  • Habilitar la protección de purga: Evitar la eliminación permanente durante el período de retención. Consulte Protección de purgas

  • Copia de seguridad de certificados críticos: exporte y almacene de forma segura copias de seguridad de certificados para la recuperación ante desastres. Consulte Copia de seguridad de Azure Key Vault.

  • Proteger certificados exportados: al exportar certificados:

    • Uso de contraseñas seguras para archivos PFX
    • Almacenar archivos exportados en ubicaciones seguras
    • Eliminación de archivos temporales después de su uso
    • Auditar las operaciones de exportación

Transparencia de los certificados y cumplimiento

Mantener la visibilidad de la emisión de certificados:

  • Comprenda el comportamiento de la transparencia de certificados (CT): en el caso de los certificados de confianza pública emitidos a través de las autoridades de certificación integradas de Key Vault, la CA se encarga del envío de registros de CT; no es necesario habilitarlo en Key Vault. Los certificados de confianza pública y los metadatos salen del perímetro de Azure durante el proceso de inscripción y quedan registrados en registros públicos de CT, de acuerdo con los requisitos de confianza de los exploradores. Para obtener más información, consulte la nota sobre la CA externa y la administración de registros CT en Acerca de los certificados de Azure Key Vault.

  • Propósitos del certificado de documento: mantener registros de:

    • Propósito del certificado y aplicación propietaria
    • Proceso de aprobación para la emisión de certificados
    • Procedimientos de renovación de certificados

Certificados autofirmados

Al usar certificados autofirmados para pruebas o fines internos:

  • Límite a entornos que no son de producción: los certificados autofirmados no deben usarse en producción para los servicios accesibles públicamente

  • Establecer períodos de validez adecuados: use períodos de validez más cortos para certificados autofirmados (90 días o menos)

  • Administrar la distribución de confianza: documente cómo se distribuye la confianza de certificado autofirmado a los clientes

  • Planear la migración a certificados emitidos por la Autoridad de Certificación (CA): tener una estrategia para reemplazar los certificados autofirmados por certificados emitidos por la CA para producción

Para más información sobre los certificados autofirmados, consulte Creación de un certificado con Key Vault.

Pasos siguientes

  • Se actualizó por última vez el