Skip to main content
La rotación crea una nueva versión del material en la misma clave, conservando ID y CRN. Las políticas IAM, etiquetas y aplicaciones que referencian la clave siguen funcionando. Las claves de clientes AES-256, RSA-2048, RSA-4096 y ECDSA-P256 permiten rotación automática y bajo demanda. Las claves de sistema administradas por la plataforma tienen su propio ciclo de vida. El material anterior sigue disponible para descifrar y verificar firmas. La rotación no reescribe datos almacenados, no sustituye claves de datos ni revoca firmas anteriores. La eliminación definitiva de la clave destruye todas sus versiones.
Los ejemplos de la CLI requieren basaltic v0.26.0 o posterior. Los ejemplos de Go requieren sdk-go v0.30.0 o posterior.

​
Configura la rotación automática

La rotación automática está desactivada de forma predeterminada. Elige un período de 90 a 2560 días completos; omitir rotation_period_days selecciona 365 días. La primera rotación vence un período después de habilitarla. Cambiar el período reinicia esa fecha; guardar la misma política conserva la programación.
Abre KMS, selecciona la clave y abre Key rotation. En Automatic rotation, elige Enabled, define Rotation period (days) y elige Save. La tarjeta muestra la versión actual del material y la próxima rotación programada.
Define enabled como false para detener la rotación automática. Envía también el período existente para conservarlo. Esto cancela solicitudes automáticas que aún no han comenzado; una rotación ya enviada puede finalizar. Solo las claves de clientes habilitadas pueden cambiar la política o rotar. Una clave deshabilitada conserva su programación, pero se omite. Al habilitarla de nuevo, una programación vencida produce una rotación y retoma la cadencia original. Cancelar la eliminación deja la clave deshabilitada; habilítala para reanudar la rotación.

​
Rota ahora

La rotación bajo demanda no cambia la programación automática. Genera un token por operación lógica y reutilízalo en todos los reintentos, incluso después de un timeout. El token permanece asociado a la rotación durante toda la vida de la clave. Sin él, cada solicitud representa una nueva intención de rotación.
En KMS, abre la clave y Key rotation, y elige Rotate now. Confirma Rotate key material. Abre la pestaña Version history para consultar el resultado en la tabla de ancho completo.

​
Consulta el progreso y el historial

200 devuelve una solicitud completada o cancelada. 202 indica una solicitud registrada de forma duradera, aún pendiente, en curso o esperando reconciliación. Consulta por el ID de rotación. El historial muestra las más recientes primero; usa meta.marker como el siguiente marker mientras meta.has_more sea verdadero.
Si reconciliation_required persiste, contacta con soporte e incluye el ID de clave y el ID de rotación. Cambiar el token no resuelve la situación. Otra solicitud mientras hay trabajo activo devuelve 409 KMS_ROTATION_IN_PROGRESS.

​
Reencapsula datos cifrados

Los datos existentes se pueden descifrar sin migración. Para actualizar un texto cifrado o una clave de datos encapsulada a la versión actual, llama a rewrap con la misma clave y almacena el resultado. No se devuelve texto en claro. En sobres con AAD, el AAD original y el contenido cifrado permanecen iguales; el mismo AAD sigue siendo necesario para descifrar. Rewrap no valida el contenido del sobre ni su AAD.
El console administra políticas e historial de rotación. Reencapsula datos mediante la API, CLI o SDK.

​
Firmas y claves públicas

Guarda key_version devuelto por Sign junto con la firma y el algoritmo. Pásalo a Verify o a GET /v1/keys/{key_id}/public-key?key_version=1 para verificar sin conexión. Omitir la versión en Verify prueba las versiones públicas conservadas para mantener compatibilidad con firmas antiguas. Omitirla al consultar la clave pública devuelve la versión actual, que puede diferir de la que firmó un mensaje anterior. Consulta firma y verificación y permisos de KMS. La gestión de rotación, la firma, la consulta de claves públicas y el reencapsulado usan acciones IAM distintas.