Introducción a las claves, secretos y certificados de Azure Key Vault

Azure Key Vault permite a las aplicaciones y los usuarios de Microsoft Azure almacenar y usar varios tipos de datos de secretos y claves: claves, secretos y certificados. Las claves, los secretos y los certificados se conocen colectivamente como "objetos".

Identificadores de objeto

Los objetos se identifican de forma única dentro de Key Vault mediante un identificador que no distingue mayúsculas de minúsculas denominado identificador de objeto. No hay dos objetos en el sistema que tengan el mismo identificador, independientemente de la ubicación geográfica. El identificador consta de un prefijo que identifica la instancia de Key Vault, el tipo de objeto, el nombre de objeto proporcionado por el usuario y la versión de un objeto. Los identificadores que no incluyan la versión del objeto se conocen como "identificadores base". Los identificadores de objeto de Key Vault también son direcciones URL válidas, pero siempre deberían compararse como cadenas que no distinguen mayúsculas de minúsculas.

Para más información, consulte Autenticación, solicitudes y respuestas

Un identificador de objeto tiene el formato general siguiente (según el tipo de contenedor):

• Para almacenes: https://{vault-name}.vault.azure.net/{object-type}/{object-name}/{object-version}

• Para grupos de HSM administrados: https://{hsm-name}.managedhsm.azure.net/{object-type}/{object-name}/{object-version}

Donde:

Sufijos DNS para identificadores de objeto

El proveedor de recursos de Azure Key Vault admite dos tipos de recursos: almacenes y HSM administrados. En esta tabla se muestra el sufijo DNS que usa el punto de conexión del plano de datos para los almacenes y los grupos de HSM administrados en varios entornos de nube.

Tipos de objeto

En esta tabla se muestran los tipos de objeto y sus sufijos en el identificador de objeto.

• Claves criptográficas: Admite varios tipos de claves y algoritmos, y permite el uso de claves protegidas por software y protegidas con HSM. Para más información, consulte Acerca de las claves.
• Secretos: proporciona un almacenamiento seguro de secretos, como contraseñas y cadenas de conexión de base de datos. Para más información, consulte Acerca de los secretos.
• Certificados: admite certificados, que se basan en claves y secretos, y agrega una característica de renovación automática. Tenga en cuenta que cuando se crea un certificado, se crean también una clave direccionable y un secreto con el mismo nombre. Para más información, consulte Acerca de los certificados.
• Claves de cuentas de Azure Storage: puede administrar automáticamente las claves de una cuenta de Azure Storage. Internamente, Key Vault puede enumerar (sincronizar) las claves con una cuenta de almacenamiento de Azure y volver a generar (rotar) las claves periódicamente. Para más información, consulte Administración de claves de cuenta de almacenamiento con Key Vault.

Para más información sobre Key Vault, consulte Acerca de Azure Key Vault. Para más información sobre los grupos de HSM administrados, consulte ¿Qué es HSM administrado de Azure Key Vault?

Tipos de datos

Consulte las especificaciones JOSE para tipos de datos relevantes para claves, cifrado y firma.

• algorithm: un algoritmo admitido para una operación de clave, por ejemplo, RSA1_5
• ciphertext-value: octetos de texto cifrado codificados con Base64URL
• digest-value: la salida de un algoritmo de hash codificada con Base64URL
• key-type: uno de los tipos de clave admitidos; por ejemplo, RSA (Rivest-Shamir-Adleman).
• plaintext-value: octetos de texto no cifrado codificados con Base64URL
• signature-value: la salida de un algoritmo de firma codificada con Base64URL
• base64URL: un valor binario codificado con Base64URL [RFC4648]
• boolean: true o false
• Identity: una identidad de Microsoft Entra ID.
• IntDate: un valor decimal JSON que representa el número de segundos desde 1970-01-01T0:0:0Z UTC hasta la fecha y hora UTC especificada. Consulte RFC3339 para más información acerca de la fecha y hora en general, y la hora UTC en particular.

Objetos, identificadores y control de versiones

Se aplica el control de versiones de los objetos almacenados en Key Vault cuando se crea una instancia de un objeto. Cada versión tiene asignado un identificador de objeto único. Cuando se crea un objeto por primera vez, se le asigna un identificador de versión único y se marca como la versión actual del objeto. La creación de una instancia con el mismo nombre de objeto proporciona al nuevo objeto un identificador de versión único, que hace que se convierta en la versión actual.

Para recuperar objetos en Key Vault, es preciso especificar una versión, o bien omitirla si lo que se desea es obtener la versión más reciente del objeto. La realización de operaciones en objetos requiere que se proporcione una versión para usar una versión específica del objeto.

Pasos siguientes

• Información acerca de las claves
• Información acerca de los secretos
• Información acerca de los certificados
• Autenticación, solicitudes y respuestas
• Guía del desarrollador de Key Vault