Claves administradas por el cliente para el cifrado de Azure Storage

Puede usar su propia clave de cifrado para proteger los datos de la cuenta de almacenamiento. Cuando especificas una clave gestionada por el cliente, Azure Storage utiliza esa clave para proteger y controlar el acceso a la clave que cifra tus datos. Las claves administradas por el cliente ofrecen más flexibilidad para administrar controles de acceso.

Debe usar uno de los siguientes almacenes de claves de Azure para almacenar las claves administradas por el cliente:

Puede crear sus propias claves y almacenarlas en un almacén de claves o HSM administrado, o bien puede usar las API de Azure Key Vault para generarlas. La cuenta de almacenamiento y el almacén de claves o HSM administrado pueden estar en diferentes inquilinos, regiones y suscripciones de Microsoft Entra.

Nota:

Azure Key Vault y HSM administrado por Azure Key Vault admiten las mismas API e interfaces de administración para la configuración de claves administradas por el cliente. Cualquier acción que se admita para Azure Key Vault también se admite para HSM administrado por Azure Key Vault.

Acerca de las claves administradas por el cliente

El siguiente diagrama muestra cómo Azure Storage utiliza Microsoft Entra ID y una bóveda de claves o HSM gestionado para realizar solicitudes utilizando la clave gestionada por el cliente:

Diagrama de cómo funcionan las claves gestionadas por el cliente en Azure Storage con Microsoft Entra ID y una bóveda de claves.

En la lista siguiente se explican los pasos numerados del diagrama:

  1. Un administrador de Azure Key Vault concede permisos para las claves de cifrado a una identidad administrada. La identidad gestionada puede ser una identidad gestionada asignada por el usuario que tú crees y gestiones, o una identidad gestionada asignada por el sistema asociada a la cuenta de almacenamiento.
  2. Un administrador de Azure Storage configura el cifrado con una clave administrada por el cliente para la cuenta de almacenamiento.
  3. Azure Storage usa la identidad administrada a la que el administrador de Azure Key Vault concedió permisos en el paso 1 para autenticar el acceso a Azure Key Vault a través de Microsoft Entra ID.
  4. Azure Storage encapsula la clave de cifrado de la cuenta con la clave administrada por el cliente en Azure Key Vault.
  5. Para operaciones de lectura y escritura, Azure Storage envía solicitudes a Azure Key Vault para despliegar la clave de cifrado de la cuenta y realizar operaciones de cifrado y descifrado.

La identidad administrada asociada a la cuenta de almacenamiento debe tener estos permisos como mínimo para acceder a una clave administrada por el cliente en Azure Key Vault:

  • wrapkey
  • unwrapkey
  • Obtener

Para obtener más información sobre los permisos de clave, consulte Tipos de claves, algoritmos y operaciones.

Azure Policy proporciona una directiva integrada para requerir que las cuentas de almacenamiento usen claves administradas por el cliente para cargas de trabajo de Blob Storage y Azure Files. Para obtener más información, consulte la sección Almacenamiento de las definiciones de directivas integradas de Azure Policy.

Claves administradas por el cliente para colas y tablas

Los datos almacenados en Queue Storage y Table Storage no quedan protegidos automáticamente mediante una clave administrada por el cliente cuando se habilitan claves administradas por el cliente en la cuenta de almacenamiento. Opcionalmente, puedes configurar estos servicios para que estén incluidos en esta protección cuando crees la cuenta de almacenamiento.

Para más información sobre cómo crear una cuenta de almacenamiento que admita el uso de claves administradas por el cliente para colas y tablas, consulte Creación de una cuenta que admita las claves administradas por el cliente para tablas y colas.

Los datos en Blob Storage y Azure Files siempre están protegidos por claves gestionadas por el cliente cuando configuras claves gestionadas por el cliente para la cuenta de almacenamiento.

Habilitación de claves administradas por el cliente para una cuenta de almacenamiento

Al configurar claves administradas por el cliente para una cuenta de almacenamiento, Azure Storage envuelve la clave raíz de cifrado de datos de la cuenta con la clave administrada por el cliente en el almacén de claves o HSM administrado asociado. La protección de la clave de cifrado raíz cambiará, pero los datos de la cuenta de Azure Storage seguirán cifrados en todo momento. No necesitas tomar ninguna medida adicional para asegurarte de que tus datos permanezcan cifrados. La protección de las claves administradas por el cliente surte efecto de manera inmediata.

Puede cambiar entre las claves administradas por el cliente y las claves administradas por Microsoft en cualquier momento. Para obtener más información sobre las claves administradas por Microsoft, vea Información sobre la administración de claves de cifrado.

Requisitos del almacén de claves

El almacén de claves o el HSM administrado que almacena la clave debe cumplir los siguientes requisitos:

  • La eliminación temporal está habilitada.
  • La protección de purga está habilitada.
  • La clave es una clave RSA o RSA-HSM.
  • El tamaño de la llave es 2048, 3072 o 4096.

Para obtener más información sobre las claves, consulte Acerca de las claves.

Una bóveda de claves o un HSM gestionado tiene costes asociados. Para más información, vea Precios de Key Vault.

Claves administradas por el cliente con un almacén de claves en el mismo inquilino

Puede configurar claves administradas por el cliente con el almacén de claves y la cuenta de almacenamiento en el mismo inquilino o en distintos inquilinos de Microsoft Entra. Para aprender a configurar el cifrado de Azure Storage con claves administradas por el cliente cuando el almacén de claves y la cuenta de almacenamiento están en los mismos inquilinos, consulte uno de los siguientes artículos:

Cuando habilitas claves administradas por el cliente con un almacén de claves en el mismo arrendatario, debes especificar una identidad administrada para autorizar el acceso al almacén de claves que contiene la clave. La identidad gestionada puede ser asignada por el usuario o por el sistema:

  • Si configura claves administradas por el cliente al crear una cuenta de almacenamiento, debe usar una identidad administrada asignada por el usuario.
  • Si configura claves administradas por el cliente en una cuenta de almacenamiento existente, puede usar una identidad administrada asignada por el usuario o asignada por el sistema.

Para más información sobre las identidades administradas asignadas por el sistema en comparación con las asignadas por el usuario, consulte Identidades administradas para recursos de Azure. Para más información sobre cómo crear y administrar una identidad administrada asignada por el usuario, consulte Administración de identidades administradas asignadas por el usuario.

Claves administradas por el cliente con un almacén de claves en un inquilino diferente

Para aprender a configurar el cifrado de Azure Storage con claves administradas por el cliente cuando el almacén de claves y la cuenta de almacenamiento están en distintos inquilinos de Microsoft Entra, consulte uno de los siguientes artículos:

Claves administradas por el cliente con un HSM administrado

Puede configurar claves administradas por el cliente con un HSM administrado de Azure Key Vault para una cuenta nueva o existente. Además, puede configurar claves administradas por el cliente con un HSM administrado que esté en el mismo inquilino que la cuenta de almacenamiento o en otro inquilino. El proceso para configurar claves administradas por el cliente en un HSM administrado es el mismo que para configurar claves administradas por el cliente en un almacén de claves, pero los permisos son un poco diferentes. Para más información, consulte Configuración del cifrado con claves administradas por el cliente almacenadas en HSM administrado por Azure Key Vault.

Actualizar la versión de la clave

Para seguir las mejores prácticas criptográficas, rota la clave que protege tu cuenta de almacenamiento de forma regular, normalmente al menos cada dos años. Azure Storage nunca modifica la clave en el almacén de claves, pero puede configurar una directiva de rotación de claves para rotar la clave según sus requisitos de cumplimiento. Para más información, consulte Configurar la rotación automática de claves en Azure Key Vault.

Después de rotar la clave en la bóveda de claves, debes actualizar la configuración de claves gestionadas por el cliente para tu cuenta de almacenamiento para que use la nueva versión de clave. Las claves gestionadas por el cliente soportan tanto la actualización automática como manual de la versión de la clave que protege la cuenta. Puede decidir qué enfoque desea usar al configurar claves administradas por el cliente o al actualizar la configuración.

Al modificar la clave o la versión de clave, la protección de la clave de cifrado raíz cambiará, pero los datos de la cuenta de Azure Storage seguirán cifrados en todo momento. No es necesario realizar ninguna acción adicional para asegurarse de que los datos están protegidos. Rotar la versión de la tecla no afecta al rendimiento. No hay tiempo de inactividad cuando cambias la versión de la clave.

Importante

Para rotar una clave, cree una nueva versión de la clave en la bóveda de claves o HSM administrado, según los requisitos de cumplimiento. Azure Storage no gestiona la rotación de claves, así que debes gestionar la rotación de la clave en el Key Vault.

Cuando rotas la clave usada para las claves gestionadas por el cliente, esa acción no está registrada actualmente en los registros de Azure Monitor para Azure Storage.

Actualización automática de la versión de clave

para actualizar automáticamente una clave administrada por el cliente a una nueva versión disponible, omita la versión de la clave al habilitar el cifrado con las claves administradas por el cliente para la cuenta de almacenamiento. Si omites la versión de la clave, Azure Storage revisa diariamente la bóveda de claves o el HSM gestionado para encontrar una nueva versión de una clave gestionada por el cliente. Si hay una nueva versión de clave disponible, Azure Storage utiliza automáticamente la última versión de la clave.

Azure Storage comprueba solo una vez al día el almacén de claves para obtener una nueva versión de la clave. Al girar una clave, espere 24 horas antes de deshabilitar la versión anterior.

Si la cuenta de almacenamiento se configuró anteriormente para la actualización manual de la versión de la clave y desea cambiarla para que se actualice automáticamente, es posible que tenga que cambiar explícitamente la versión de la clave a una cadena vacía. Para obtener detalles sobre cómo hacerlo, consulte Configurar el cifrado para la actualización automática de las versiones de las claves.

Actualización manual de la versión de la clave

para usar una versión determinada de una clave para el cifrado de Azure Storage, especifique la versión de la clave al habilitar el cifrado con las claves administradas por el cliente para la cuenta de almacenamiento. Si especificas la versión de la clave, Azure Storage usa esa versión para el cifrado hasta que actualices manualmente la versión de la clave.

Cuando especificas explícitamente la versión de la clave, debes actualizar manualmente la cuenta de almacenamiento para que use el URI de la nueva versión de clave cuando se crea una nueva versión. Para obtener más información sobre cómo actualizar la cuenta de almacenamiento para usar una nueva versión de la clave, consulte Configuración del cifrado con claves administradas por el cliente almacenadas en Azure Key Vault o Configuración del cifrado con claves administradas por el cliente almacenadas en HSM administrado de Azure Key Vault.

Revocar el acceso a una cuenta de almacenamiento que usa claves administradas por el cliente

Para revocar el acceso a una cuenta de almacenamiento que usa claves administradas por el cliente, deshabilite la clave en la bóveda de claves. Para obtener información sobre cómo deshabilitar la clave, consulte Revocar el acceso a una cuenta de almacenamiento que usa claves administradas por el cliente.

Una vez deshabilitada la clave, los clientes no pueden llamar a operaciones que leen o escriben en un recurso o en sus metadatos. Los intentos de llamar a estas operaciones fallan con el código de error 403 (Prohibido) para todos los usuarios.

Para volver a llamar a estas operaciones, restaure el acceso a la clave administrada por el cliente.

Todas las operaciones de datos que no se enumeren en las siguientes secciones pueden continuar después de que se revocen las claves gestionadas por el cliente o después de que una clave sea deshabilitada o eliminada.

Para revocar el acceso a las claves administradas por el cliente, use PowerShell o la CLI de Azure.

Operaciones de Blob Storage que producen un error después de revocar una clave

Operaciones de Azure Files que producen un error después de revocar una clave

Claves administradas por el cliente para discos administrados de Azure

También puedes usar claves gestionadas por el cliente para gestionar el cifrado de discos gestionados por Azure. Las claves gestionadas por el cliente funcionan de forma diferente para discos gestionados que para recursos de Azure Storage. Para más información, consulte Cifrado del lado servidor de Azure Managed Disks.

Pasos siguientes

  • Last updated on