Descripción general de las claves administradas por el cliente

Azure Container Registry cifra automáticamente las imágenes y otros artefactos que almacena. De manera predeterminada, Azure cifra automáticamente el contenido del registro en reposo con claves administradas por el servicio. Al usar una clave administrada por el cliente, puede complementar el cifrado predeterminado con una capa de cifrado adicional.

Este artículo es la primera parte de una serie de tutoriales de cuatro partes. El tutorial abarca lo siguiente:

  • Descripción general de las claves administradas por el cliente
  • Habilitar una clave administrada por el cliente
  • Rotar y revocar una clave administrada por el cliente
  • Solución de problemas de una clave administrada por el cliente

Acerca de las claves administradas por el cliente

Al usar una clave administrada por el cliente, aporta su propia clave en Azure Key Vault o Azure Key Vault Managed HSM. Al habilitar una clave administrada por el cliente, puede administrar sus rotaciones, controlar el acceso y los permisos para usarla y auditar su uso.

Características clave:

  • Cumplimiento normativo: Azure cifra automáticamente el contenido del registro en reposo con claves administradas por el servicio, pero el cifrado con claves administradas por el cliente le ayuda a cumplir las directrices de cumplimiento normativo.

  • Integración con Azure Key Vault: las claves administradas por el cliente admiten el cifrado del lado servidor mediante la integración con Azure Key Vault y Azure Key Vault Managed HSM. Puede crear o importar claves de cifrado en cualquier almacén de claves.

  • Administración del ciclo de vida de las claves: la integración de claves administradas por el cliente con Key Vault o HSM administrado le ofrece control total y responsabilidad sobre el ciclo de vida de las claves, incluida la rotación y la administración.

Antes de habilitar una clave administrada por el cliente

Antes de configurar Azure Container Registry con una clave administrada por el cliente, tenga en cuenta la siguiente información:

  • Esta característica está disponible en el nivel de servicio Premium para un registro de contenedores. Para más información, consulte Niveles de servicio de Azure Container Registry.
  • De momento, solo puede habilitar una clave administrada por el cliente al crear un registro.
  • No se puede desactivar el cifrado después de activar una clave administrada por el cliente en un registro.
  • Debe configurar una identidad administrada asignada por el usuario para acceder al almacén de claves. Más adelante, si es necesario, puede habilitar la identidad administrada asignada por el sistema del Registro para el acceso a claves.
  • Azure Container Registry solo admite claves RSA o RSA-HSM. Las claves de curva elíptica no se admiten en este momento.
  • Se debe aprovisionar y activar un HSM administrado antes de configurarlo para el cifrado del Registro. Para más información, consulte Aprovisionamiento y activación de un HSM administrado.
  • HSM administrado usa el control de acceso basado en rol (RBAC) local, no las directivas de acceso de Key Vault. Asigne la identidad del registro al rol Managed HSM Crypto Service Encryption User, preferiblemente en el ámbito de la clave de cifrado.
  • La disponibilidad de HSM administrada varía según la nube y la región de Azure. Compruebe que HSM administrado está disponible en la ubicación y la nube donde planea usarlo.
  • En un registro cifrado con una clave administrada por el cliente, puede conservar los registros de las tareas del Azure Container Registry durante solo 24 horas. Para conservar los registros durante un período más largo, consulte Ver y administrar los registros de ejecución de tareas.
  • Confianza de contenido no se admite actualmente en un registro cifrado con una clave administrada por el cliente.

Actualizar la versión de la clave administrada por el cliente

Azure Container Registry admite la rotación automática y manual de claves de cifrado del Registro cuando hay disponible una nueva versión de clave en Key Vault o HSM administrado.

Importante

Es importante tener en cuenta la seguridad de un registro con cifrado de clave administrada por el cliente para actualizar con frecuencia (rotar) las versiones de la clave. Siga las directivas de cumplimiento de su organización para actualizar periódicamente las versiones de clave en el almacén de claves.

  • Actualizar automáticamente la versión de la clave: cuando un registro se cifra con una clave sin versiones, Azure Container Registry comprueba periódicamente el almacén de claves para obtener una nueva versión de clave y actualiza la clave administrada por el cliente en un plazo de una hora. Omita la versión de la clave al habilitar el cifrado del registro con una clave administrada por el cliente. Azure Container Registry usará y actualizará automáticamente la versión más reciente de la clave.

  • Actualizar manualmente la versión de la clave: cuando un registro se cifra con una versión de clave específica, Azure Container Registry usa esa versión para el cifrado hasta que se rota manualmente la clave administrada por el cliente. Le sugerimos que especifique la versión de la clave cuando active el cifrado del registro con una clave administrada por el cliente. Azure Container Registry usará una versión específica de una clave para el cifrado del registro.

Para más información, consulte Rotación de claves y Actualización de la versión de la clave.

Siguientes pasos

  • Se actualizó por última vez el