Fortalecer la activación de los Servicios de Gestión de Claves (KMS) con confianza basada en hardware

La activación de Hardware-Secured KMS es una forma reforzada de activación de volumen de Servicios de Gestión de Claves (KMS) que utiliza la atestación del Módulo de Plataforma Confiable (TPM) 2.0 para confirmar que las solicitudes de activación provienen de entornos confiables y respaldados por hardware. Vincula la activación a la integridad del dispositivo, lo que mitiga la suplantación y ayuda a garantizar que solo los hosts verificados y validados participen en la activación.

Un host KMS que no está asegurado por hardware depende únicamente del software para validar la activación, lo que deja tu entorno más expuesto a hosts KMS no verificados o emulados.

A partir de la Actualización Acumulativa 2026-08 para Windows Server 2025, la mensajería de preparación del host de KMS te indica si un host cumple con los requisitos de seguridad basados en hardware, para que puedas comprobar y preparar tu entorno. Los cambios de activación que se basan en la confianza basada en hardware se aplican a futuras versiones de Windows Server. Para saber más, consulta Fortalecimiento del Servicio de Gestión de Claves (KMS) con confianza basada en hardware.

Después de leer este artículo, puedes identificar si un host KMS está asegurado por hardware, entender en qué se diferencia de uno que no lo es y saber qué requisitos debe cumplir tu entorno.

Cómo funciona la activación de KMS Hardware-Secured

La activación de KMS Hardware-Secured utiliza la atestación TPM 2.0 para establecer confianza en el host KMS antes de que participe en la activación. El TPM proporciona una medición respaldada por hardware del host, y la atestación valida esa medición para que las solicitudes de activación se originen en un entorno confiable y verificado.

La atestación TPM funciona en tres partes:

  • Identidad de hardware: El host KMS utiliza la atestación respaldada por TPM para demostrar su identidad de hardware, que Microsoft verifica antes de activar los dispositivos.
  • Integridad de la plataforma: El TPM confirma la integridad del anfitrión KMS.
  • Flujo de activación: Tras la verificación, el host KMS atiende de forma segura las solicitudes de activación para dispositivos Windows.

Este enfoque vincula la activación a un host de confianza, no solo a una configuración de software que alguien pueda copiar o falsificar.

Debido a que el hardware del dispositivo ancla la confianza y no solo la configuración de software, KMS Hardware-Secured activación:

  • Vincula la activación a la integridad del dispositivo.
  • Resiste la manipulación vinculando secretos de activación al hardware.
  • Mitiga la suplantación y el uso de hosts KMS emulados o no verificados.
  • Proporciona activación perpetua sin renovación periódica.

KMS con seguridad por hardware y KMS no con seguridad por hardware

Un host KMS opera en uno de dos estados. Un host KMS asegurado por hardware añade una raíz de confianza hardware, mientras que un host KMS no asegurado por hardware depende únicamente del software. Entender la diferencia te ayuda a planificar el camino adecuado para tu entorno.

Aspecto Host asegurado por hardware KMS KMS no es host asegurado por hardware
Base de confianza Raíz de confianza por hardware establecida mediante la atestación TPM 2.0. Solo software, que es vulnerable a la suplantación.
Requisito de hardware TPM 2.0 instalado y habilitado. None.
Renovación de activación Activación perpetua sin necesidad de renovación. Activación estándar de KMS en Windows Server 2025. Una versión futura de Windows Server podría requerir renovaciones periódicas.
Cuándo usarlo Estado recomendado, para la mayor confianza en activación y el menor mantenimiento continuo. Estado de transición, mientras preparas el hardware y completas el traslado a un host seguro por hardware KMS.

Cuándo elegir un host con hardware asegurado por KMS

El estado recomendado es un host asegurado por hardware por KMS . Este host utiliza la atestación TPM 2.0 para establecer confianza basada en hardware y proporciona activación perpetua sin renovación. Elige este estado cuando quieras la confianza en activación más fuerte y el menor mantenimiento continuo.

Qué esperar en un host KMS sin hardware

Un host KMS no asegurado por hardware utiliza activación estándar de KMS en Windows Server 2025 y continúa activando clientes como lo hace hoy en día. En una versión futura de Windows Server, un host no asegurado por hardware podría requerir renovaciones periódicas para mantener activados a los clientes. Prepara tu hardware ahora para adoptar la activación asegurada por hardware de KMS antes de ese cambio. Para saber más, consulta Fortalecimiento del Servicio de Gestión de Claves (KMS) con confianza basada en hardware.

Requisitos para un host asegurado por hardware KMS

Para operar como un host asegurado por hardware KMS, un servidor debe cumplir todos los siguientes requisitos:

Preparación del entorno para activación asegurada por hardware de KMS

Para prepararte para la activación asegurada por hardware de KMS, evalúa lo que tienes hoy, observa las señales de preparación y planifica cualquier cambio de hardware que necesites.

Evalúa tu configuración KMS actual

Empieza por entender tu infraestructura KMS existente para saber qué anfitriones ya califican y cuáles necesitan cambios:

  • Haz inventario de tus hosts KMS, tanto físicos como virtuales.
  • Verifica que cada host tenga instalado y habilitado un chip TPM 2.0.
  • Confirma que el hardware del servidor de cada host está certificado en el Catálogo de Windows Server.

Para confirmar que un host soporta la capacidad de atestación TPM, ejecute el siguiente comando en una sesión PowerShell elevada:

Get-TpmSupportedFeature -FeatureList "Key Attestation"

Una respuesta que aparece Key Attestation confirma que el servidor soporta la capacidad de atestación TPM para activación de KMS Hardware-Secured.

Señales de preparación del monitor

A partir de la Actualización Acumulativa 2026-08 para Windows Server 2025, la mensajería de preparación del host KMS te ayuda a planificar con antelación. Este mensaje es informativo y no afecta a la activación. Los clientes siguen activándose como lo hacen hoy. El mensaje muestra qué hosts ya cumplen con los requisitos de seguridad basados en hardware, para que puedas prepararte para la activación de KMS Hardware-Secured en una versión futura de Windows Server. Para saber más sobre el cambio, consulte Fortalecimiento del Servicio de Gestión de Claves (KMS) con confianza basada en hardware.

Las señales de preparación aparecen en dos superficies:

  • Línea de comandos: Ejecutar slmgr /dlv muestra o bien "Este dispositivo es elegible para servir como host KMS con seguridad basada en hardware." o "Este dispositivo no cumple los requisitos para usar un host KMS con seguridad basada en hardware."
  • Registros de eventos: Las entradas de advertencia aparecen en Registros> de Aplicaciones yServicios Servicio de Gestión de Claves.

Planifica tu transición de hardware

Para los anfitriones que aún no cumplen los requisitos, planifica los cambios que los trasladen a un estado de KMS Hardware-Secured:

  • Instala y activa TPM 2.0 en hosts que no lo tengan.
  • Pasar a hardware certificado por Windows Server donde el hardware actual no esté certificado.
  • Valida la preparación después de hacer cambios de hardware para confirmar que el host califica como host de KMS Hardware-Secured.

Contenido relacionado

  • Se actualizó por última vez el