En esta guía, puedes aprender cómo gestionar tus llaves de cifrado con un sistema de gestión de llaves (KMS) en tu aplicación.
Tip
Rota y reenvuelve
La rotación de DEK consiste en volver a envolverlos con una nueva llave maestra de cliente. Esta guía utiliza los términos "rotar" y "volver a envolver" indistintamente.
Overview
Este procedimiento le muestra cómo rotar las llaves de cifrado para Queryable Encryption.
Después de completar esta guía, puedes rotar tu llave maestra de cliente (CMK) en tu sistema de gestión de claves y luego envolver nuevamente los DEK existentes en tu Colección de Bóvedas de Llaves con tu nuevo CMK.
Advertencia
Al rotar las claves, asegúrese de que no se utilicen para cifrar otras claves o datos antes de eliminarlas. Mantenga su CMK anterior habilitada en su KMS hasta que vuelva a cifrar todas las DEK que la utilicen. Si elimina una DEK, todos los campos cifrados con ella se volverán ilegibles de forma permanente. Si elimina una CMK, todos los campos cifrados con una DEK que utilice esa CMK se volverán ilegibles de forma permanente.
Información relacionada
Para una explicación detallada de los conceptos incluidos en este procedimiento, consulta los temas a continuación.
Para aprender más sobre llaves y almacenes de llaves, consulta Llaves de cifrado y almacenes de llaves. Para ver una lista de los KMS proveedores compatibles, consulta la página de Proveedores de KMS.
Para obtener tutoriales que detallan cómo configurar una aplicación habilitada para Queryable Encryption con cada uno de los KMS proveedores admitidos, consulte Visión general: habilitación de cifrado consultable.
Procedimiento
Sus DEK en sí permanecen sin cambios después de volver a cifrarlos con la nueva llave maestra de cliente. El proceso de rotación de claves es sin interrupciones y no interrumpe su aplicación.