Tutorial: Configuración de la rotación automática de certificados en Key Vault

Azure Key Vault le ayuda a aprovisionar, administrar e implementar certificados digitales. Los certificados pueden ser certificados TLS/SSL públicos o privados firmados por una entidad de certificación (CA) o autofirmados. Key Vault también puede solicitar y renovar certificados a través de asociaciones con CA, que proporciona una solución completa de administración del ciclo de vida de los certificados.

Para obtener una visión general de la rotación automática en distintos tipos de activos de Azure Key Vault, consulte Descripción de la rotación automática en Azure Key Vault.

En este tutorial, actualizará el período de validez de un certificado, la frecuencia de autorrotación y los atributos de la Autoridad de Certificación.

Antes de empezar, lea Key Vault conceptos básicos.

Si no tiene una suscripción de Azure, cree una cuenta free antes de comenzar.

Iniciar sesión en Azure

Inicie sesión en el portal Azure.

Creación de un almacén

Cree un almacén de claves mediante uno de estos tres métodos:

• Crear un almacén de claves mediante el portal de Azure
• Crear un almacén de claves mediante el CLI de Azure
• Crear un almacén de claves mediante Azure PowerShell

Creación de un certificado en Key Vault

Cree un certificado o importe un certificado en el key vault (consulte Pasos para crear un certificado en Key Vault). En este tutorial se usa un certificado denominado ExampleCertificate.

Actualización de atributos de ciclo de vida de certificados

En Azure Key Vault, puede actualizar los atributos del ciclo de vida de un certificado en el momento de la creación o posterior.

Un certificado creado en Key Vault puede ser:

• Un certificado autofirmado.
• Certificado creado con una ENTIDAD de certificación asociada a Key Vault.
• Certificado creado con una ENTIDAD de certificación que no está asociada con Key Vault.

Key Vault actualmente tiene estas CA asociadas:

• DigiCert: Key Vault ofrece certificados OV o EV TLS/SSL.
• GlobalSign: Key Vault ofrece certificados OV o EV TLS/SSL.

Key Vault renueva automáticamente los certificados a través de sus asociaciones con autoridades de certificación (CA). Dado que Key Vault solicita y renueva automáticamente los certificados mediante esta colaboración, la rotación automática no se aplica a los certificados creados con entidades de certificación no asociadas.

Actualizar los atributos del ciclo de vida del certificado en el momento de la creación

1. En las páginas de propiedades de Key Vault, seleccione Certificates.

2. Seleccione Generar o importar.

3. En la pantalla Crear un certificado , actualice los valores siguientes:

   • Período de validez: escriba el valor en meses. Los certificados de corta duración son un procedimiento recomendado de seguridad. De forma predeterminada, un certificado recién creado tiene un período de validez de 12 meses.

   • Tipo de acción de vigencia: seleccione la acción de renovación automática y alertas del certificado y, a continuación, actualice el porcentaje de vigencia o el número de días antes de la expiración. De forma predeterminada, la renovación automática está configurada en el 80 % de la duración del certificado. En el menú desplegable, seleccione una de las siguientes opciones.

     Renovación automática en un momento dado	Enviar por correo electrónico todos los contactos en un momento dado
     Activa la rotación automática.	No gira automáticamente; solo alerta a los contactos.

     Para obtener más información, consulte Obtención de notificaciones sobre la expiración del certificado.

4. Selecciona Crear.

Actualizar los atributos del ciclo de vida de un certificado almacenado

1. Seleccione el almacén de claves.

2. En las páginas de propiedades de Key Vault, seleccione Certificates.

3. Seleccione el certificado que desea actualizar. En este tutorial se usa un certificado denominado ExampleCertificate.

4. En la barra de menús superior, seleccione Directiva de emisión.

   

5. En la pantalla Directiva de emisión , actualice los valores siguientes:

   • Período de validez: actualice el valor en meses.
   • Tipo de acción de vigencia: seleccione la acción de renovación automática y alertas del certificado y, a continuación, actualice el porcentaje de vigencia o el número de días antes de la expiración.

   

6. Haga clic en Guardar.

Actualización de atributos de certificado mediante PowerShell

Set-AzKeyVaultCertificatePolicy -VaultName $vaultName `
                                -Name $certificateName `
                                -RenewAtNumberOfDaysBeforeExpiry [276 or appropriate calculated value]

$file = Import-CSV C:\Users\myfolder\ReadCSVUsingPowershell\File.csv ​
foreach($line in $file)​
{​
Set-AzKeyVaultCertificatePolicy -VaultName $vaultName -Name $certificateName -RenewAtNumberOfDaysBeforeExpiry [276 or appropriate calculated value]
}

Para más información sobre los parámetros, consulte az keyvault certificate.

Limpieza de recursos

Otros tutoriales de Key Vault se basan en este. Si tiene previsto trabajar con ellos, deje los recursos en su lugar. Cuando ya no los necesite, elimine el grupo de recursos. Al eliminar el grupo de recursos, se eliminan el almacén de claves y los recursos relacionados.

Para eliminar el grupo de recursos en el portal:

1. Escriba el nombre del grupo de recursos en el cuadro Buscar de la parte superior del portal y selecciónelo en los resultados.
2. Seleccione Eliminar grupo de recursos.
3. En el cuadro ESCRIBA EL NOMBRE DEL GRUPO DE RECURSOS: , escriba el nombre del grupo de recursos y, a continuación, seleccione Eliminar.

Pasos siguientes

En este tutorial, ha actualizado los atributos del ciclo de vida de un certificado. Para obtener más información sobre Key Vault y cómo integrarla con las aplicaciones, consulte:

• Información general de Azure Key Vault
• Administración de la creación de certificados en Azure Key Vault
• Comprender la autorrotación en Azure Key Vault