GET /v1/encryption-configuration. Las configuraciones administradas por el cliente devuelven encryption_type: kms y kms_key como referencia con ID, CRN y nombre. Una clave eliminada conserva ID y CRN, sin nombre; la vinculación nunca cambia silenciosamente al cifrado de la plataforma.
Sustituya la configuración con PUT /v1/encryption-configuration:
kms_key acepta UUID, nombre en la cuenta o CRN. El servicio comprueba que la clave pueda proteger una clave de capa antes de guardar. Para cifrado de la plataforma, use {"encryption_type":"platform_managed"} y omita kms_key.
El cambio afecta a las capas nuevas almacenadas. Las capas existentes conservan la clave original, incluso al reutilizarse por deduplicación en otro push. Mantenga disponibles las claves antiguas mientras sus capas sean necesarias. Desactivar o eliminar una clave antigua puede volver ilegibles esas imágenes.
Eliminar la configuración exige que la cuenta no tenga datos retenidos en Registry. Consulte /v1/encryption-configuration/retained-data al desactivar el almacenamiento. Los cambios exigen registry:PutEncryptionConfiguration; las lecturas exigen registry:GetEncryptionConfiguration.