Introducción a las claves, secretos y certificados de Azure Key Vault

Artículo
01/30/2024

Azure Key Vault permite a las aplicaciones y los usuarios de Microsoft Azure almacenar y usar varios tipos de datos de secretos y claves: claves, secretos y certificados. Las claves, los secretos y los certificados se conocen colectivamente como "objetos".

Identificadores de objeto

Los objetos se identifican de forma única dentro de Key Vault mediante un identificador que no distingue mayúsculas de minúsculas denominado identificador de objeto. No hay dos objetos en el sistema que tengan el mismo identificador, independientemente de la ubicación geográfica. El identificador consta de un prefijo que identifica la instancia de Key Vault, el tipo de objeto, el nombre de objeto proporcionado por el usuario y la versión de un objeto. Los identificadores que no incluyan la versión del objeto se conocen como "identificadores base". Los identificadores de objeto de Key Vault también son direcciones URL válidas, pero siempre deberían compararse como cadenas que no distinguen mayúsculas de minúsculas.

Para más información, consulte Autenticación, solicitudes y respuestas

Un identificador de objeto tiene el formato general siguiente (según el tipo de contenedor):

Para almacenes: https://{vault-name}.vault.azure.net/{object-type}/{object-name}/{object-version}
Para grupos de HSM administrados: https://{hsm-name}.managedhsm.azure.net/{object-type}/{object-name}/{object-version}

Nota:

Consulte Compatibilidad con tipos de objeto para conocer los tipos de objetos que admite cada tipo de contenedor.

Donde:

Elemento	Descripción
`vault-name` o `hsm-name`	El nombre de un almacén de claves o un grupo de HSM administrado del servicio Microsoft Azure Key Vault. Los nombres de los almacenes y los grupos de HSM administrados los selecciona el usuario y son globalmente únicos. El nombre del almacén y el del grupo de HSM administrados debe ser una cadena con una longitud de 3 a 24 caracteres que solo contenga los caracteres 0-9, a-z, A-Z y que no sean consecutivos -.
`object-type`	El tipo del objeto, "claves", "secretos" o "certificados".
`object-name`	`object-name` es un nombre proporcionado por el usuario y debe ser único dentro de un almacén de claves. El nombre debe ser una cadena de entre 1 y 127 caracteres que solo contenga 0-9, a-z, A-Z y -.
`object-version`	`object-version` es un identificador de cadena de 32 caracteres generada por el sistema que, opcionalmente, se utiliza para referirse a una versión única de un objeto.

Sufijos DNS para identificadores de objeto

El proveedor de recursos de Azure Key Vault admite dos tipos de recursos: almacenes y HSM administrados. En esta tabla se muestra el sufijo DNS que usa el punto de conexión del plano de datos para los almacenes y los grupos de HSM administrados en varios entornos de nube.

Entorno en la nube	Sufijo DNS para almacenes	Sufijo DNS para HSM administrados
Nube de Azure	.vault.azure.net	.managedhsm.azure.net
Microsoft Azure operado por 21Vianet Cloud	.vault.azure.cn	No compatible
Azure US Government	.vault.usgovcloudapi.net	No compatible
Nube de Azure German	.vault.microsoftazure.de	No compatible

Tipos de objeto

En esta tabla se muestran los tipos de objeto y sus sufijos en el identificador de objeto.

Tipo de objeto	Sufijo de identificador	Almacenes	Grupos de HSM administrados

Claves protegidas con HSM	/keys	Compatible	Compatible
Claves protegidas con software	/keys	Compatible	No compatible

Secretos	/secrets	Compatible	No compatible
Certificados	/certificates	Compatible	No compatible
Claves de cuenta de almacenamiento	/storage	Compatible	No compatible

Claves criptográficas: Admite varios tipos de claves y algoritmos, y permite el uso de claves protegidas por software y protegidas con HSM. Para más información, consulte Acerca de las claves.
Secretos: proporciona un almacenamiento seguro de secretos, como contraseñas y cadenas de conexión de base de datos. Para más información, consulte Acerca de los secretos.
Certificados: admite certificados, que se basan en claves y secretos, y agrega una característica de renovación automática. Tenga en cuenta que cuando se crea un certificado, se crean también una clave direccionable y un secreto con el mismo nombre. Para más información, consulte Acerca de los certificados.
Claves de cuentas de Azure Storage: puede administrar automáticamente las claves de una cuenta de Azure Storage. Internamente, Key Vault puede enumerar (sincronizar) las claves con una cuenta de almacenamiento de Azure y volver a generar (rotar) las claves periódicamente. Para más información, consulte Administración de claves de cuenta de almacenamiento con Key Vault.

Para más información sobre Key Vault, consulte Acerca de Azure Key Vault. Para más información sobre los grupos de HSM administrados, consulte ¿Qué es HSM administrado de Azure Key Vault?

Tipos de datos

Consulte las especificaciones JOSE para tipos de datos relevantes para claves, cifrado y firma.

algorithm: un algoritmo admitido para una operación de clave, por ejemplo, RSA1_5
ciphertext-value: octetos de texto cifrado codificados con Base64URL
digest-value: la salida de un algoritmo de hash codificada con Base64URL
key-type: uno de los tipos de clave admitidos; por ejemplo, RSA (Rivest-Shamir-Adleman).
plaintext-value: octetos de texto no cifrado codificados con Base64URL
signature-value: la salida de un algoritmo de firma codificada con Base64URL
base64URL: un valor binario codificado con Base64URL [RFC4648]
boolean: true o false
Identity: una identidad de Microsoft Entra ID.
IntDate: un valor decimal JSON que representa el número de segundos desde 1970-01-01T0:0:0Z UTC hasta la fecha y hora UTC especificada. Consulte RFC3339 para más información acerca de la fecha y hora en general, y la hora UTC en particular.

Objetos, identificadores y control de versiones

Se aplica el control de versiones de los objetos almacenados en Key Vault cuando se crea una instancia de un objeto. Cada versión tiene asignado un identificador de objeto único. Cuando se crea un objeto por primera vez, se le asigna un identificador de versión único y se marca como la versión actual del objeto. La creación de una instancia con el mismo nombre de objeto proporciona al nuevo objeto un identificador de versión único, que hace que se convierta en la versión actual.

Para recuperar objetos en Key Vault, es preciso especificar una versión, o bien omitirla si lo que se desea es obtener la versión más reciente del objeto. La realización de operaciones en objetos requiere que se proporcione una versión para usar una versión específica del objeto.