Límites de servicio Azure Key Vault

El servicio Azure Key Vault admite dos tipos de recursos: bóvedas y HSM administrados. En las dos secciones siguientes se describen los límites de servicio para cada uno de ellos, respectivamente.

Key Vault

Los límites siguientes se aplican a las operaciones estándar de Key Vault, incluidos los límites de velocidad de transacción para claves, secretos y certificados. Azure Key Vault incluye límites en el rendimiento de las transacciones y las solicitudes de API para garantizar la resistencia y la disponibilidad del servicio. Estos límites están diseñados para ayudar a identificar las aplicaciones que pueden afectar negativamente a otros clientes de Key Vault, a la vez que le permiten cumplir los requisitos operativos. Para obtener información sobre cómo controlar la limitación cuando se superan estos límites, consulte Guía de limitación de Azure Key Vault.

Tipo de recurso: almacén

En esta sección se describen los límites de servicio para el tipo de recurso vaults.

Transacciones clave (transacciones máximas permitidas en 10 segundos, por almacén por región¹)

Tipo de clave	Clave HSM Crear clave	Clave HSM Las restantes transacciones	Clave de software Crear clave	Clave de software Las restantes transacciones
RSA de 2,048 bits	10	2,000	20	4,000
RSA de 3,072 bits	10	500	20	1,000
RSA de 4,096 bits	10	250	20	500
ECC P-256	10	2,000	20	4,000
ECC P-384	10	2,000	20	4,000
ECC P-521	10	2,000	20	4,000
ECC SECP256K1	10	2,000	20	4,000

Note

En la tabla anterior, vemos que para las claves de software de 2048 bits RSA, se permiten 4000 transacciones GET cada 10 segundos. Para las claves HSM de 2048 bits RSA, se permiten 2000 transacciones GET cada 10 segundos.

Los umbrales de limitación se ponderan y el cumplimiento se basa en su suma. Por ejemplo, como se muestra en la tabla anterior, al realizar operaciones GET en claves HSM RSA, es ocho veces más caro usar claves de 4 096 bits en comparación con las claves de 2 048 bits porque 2 000/250 = 8.

En un intervalo determinado de 10 segundos, un cliente de Azure Key Vault solo puede realizar una de las siguientes operaciones antes de encontrar un código de estado HTTP de limitación 429:

• 4000 transacciones GET de clave de software de 2048 bits RSA
• 2,000 transacciones GET de clave HSM de 2048 bits RSA
• 250 transacciones GET de clave HSM de 4096 bits RSA
• 248 transacciones GET de clave RSA HSM de 4096 bits y 16 transacciones GET de clave RSA HSM de 2048 bits

Secretos, claves de cuenta de almacenamiento administradas y transacciones de almacén

Tipo de transacciones	N.º máximo de transacciones permitidas en 10 segundos, por almacén y región1
Secret CREATE secreto	300 (colectivamente en las tres operaciones)
Certificate Certificado IMPORT	300 (colectivamente en las tres operaciones)
Key Clave de IMPORTACIÓN	300 (colectivamente en las tres operaciones)
Las restantes transacciones	4,000

Note

El límite de 300 transacciones se aplica colectivamente a través de las operaciones "CREATE secret", "IMPORT certificate" y "IMPORT key". Por ejemplo, si en un plazo de 10 segundos crea 100 secretos, importa 100 certificados e importa 100 claves, alcanzará el límite y encontrará limitación. Vea la Guía de las limitaciones de Azure Key Vault para obtener información sobre cómo controlar la limitación cuando se superan estos límites.

¹ Un límite global para la suscripción para todos los tipos de transacciones es cinco veces el límite del almacén de claves.

Copia de seguridad de claves, secretos y certificados

Al realizar una copia de seguridad de un objeto almacenado en el almacén de claves (secreto, clave o certificado), la operación de copia de seguridad descarga el objeto como un blob cifrado. Este blob no se puede descifrar fuera de Azure. Para obtener datos que se puedan usar de este blob, debe restaurar el blob en un almacén de claves dentro de la misma suscripción de Azure y zona geográfica de Azure

Tipo de transacciones	Número máximo de versiones de objetos de almacén de claves que se permiten
Hacer copia de seguridad de claves, secretos, certificados individuales	500

Note

Si intenta realizar una copia de seguridad de una clave, un secreto o un objeto de certificado con más versiones que el límite, la operación produce un error. No es posible eliminar versiones anteriores de una clave, un secreto o un certificado.

Límites del recuento de claves, secretos y certificados

Key Vault no restringe el número de claves, secretos o certificados que se pueden almacenar en un almacén. Los límites de transacción en el almacén deben tenerse en cuenta para asegurarse de que las operaciones no estén limitadas.

Key Vault no restringe el número de versiones de un secreto, una clave o un certificado, pero el almacenamiento de un gran número de versiones (más de 500) puede afectar al rendimiento de las operaciones de copia de seguridad. Consulte Copia de seguridad de Azure Key Vault.

Key Vault: HSM administrado

Managed HSM proporciona instancias de HSM dedicadas con límites diferentes a los almacenes estándar de Key Vault. Para obtener información detallada sobre las características de rendimiento y el planeamiento de la capacidad para las cargas de trabajo de HSM administradas, consulte Guía de escalado de HSM administrado de Azure.

Tipo de recurso: HSM administrado

En esta sección se describen los límites de servicio para el tipo de recurso managed HSM.

Límites de objetos

Item	Limits
Número de instancias de HSM por suscripción por región	5
Número de claves por instancia de HSM	5000
Número de versiones por clave	100
Número de definiciones de roles personalizados por instancia de HSM	50
Número de asignaciones de roles en el ámbito de HSM	50
Número de asignación de roles en cada ámbito de clave individual	10

Para obtener instrucciones detalladas sobre el planeamiento y el escalado de la capacidad de rendimiento, consulte guía de escalado de HSM administrado de Azure.