> ## Documentation Index > Fetch the complete documentation index at: https://docs.basaltic.sh/llms.txt > Use this file to discover all available pages before exploring further. # Definir configuração de criptografia > Escolhe a chave protetora para camadas enviadas após esta chamada. Camadas existentes mantêm sua chave original; destruí-la torna essas camadas ilegíveis. Não há recifragem automática. A chave é validada agora: desabilitada, destruída ou de outra conta retorna `400`. A deduplicação continua usando o hash do conteúdo antes da criptografia. Requer `registry:PutEncryptionConfiguration`. Exige a ação IAM **`registry:PutEncryptionConfiguration`**. Veja [REGISTRY permissões](/pt/registry/permissions) para a lista completa, o escopo de cada ação e um exemplo de política. ## OpenAPI ````yaml /pt/api-reference/specs/registry.yaml put /v1/encryption-configuration openapi: 3.0.3 info: title: API Basaltic Registry version: 1.0.0 description: >- Registry de imagens de contêiner. A API de gerenciamento usa `registry..basaltic.sh`; Docker e clientes OCI usam `cr..basaltic.cloud`. Esta referência descreve `/v1`, autenticado por OAuth ou sessão do console. `/v2` segue a especificação OCI Distribution 1.1. `POST /v1/authorization-token` gera uma senha para `docker login`, que a troca por tokens por repositório em `/v2/token`. A senha dura 12 horas, mas decisões de autorização usam as políticas atuais e tokens de cinco minutos. Referências de imagem incluem o identificador da conta; use a `uri` retornada pelo servidor. Blobs e manifestos são imutáveis e identificados por SHA-256. Tags são apontadores mutáveis, salvo com `tag_mutability: immutable`. Excluir por digest remove manifesto e tags; excluir por tag preserva o manifesto. Camadas são deduplicadas em toda a conta. `size_bytes` conta blobs distintos, e a coleta em segundo plano libera os que nenhuma imagem ainda usa. Uma política de recurso permite acesso entre contas ou público. Acesso entre contas exige autorização tanto no recurso como no IAM do chamador. `kms_key` aceita UUID, nome na conta ou CRN de uma chave simétrica habilitada na mesma conta e região. Referências inválidas retornam 400; chaves inexistentes retornam 404. Respostas usam ResourceRef e preservam ID e CRN sem nome quando a chave foi excluída. contact: name: Basaltic Support email: ping@basaltic.sh license: name: Proprietary url: https://basaltic.sh/terms servers: - url: https://registry.{region}.basaltic.sh description: Endpoint de API regional variables: region: default: sa-saopaulo-1 description: Código de região security: - BearerAuth: [] tags: - name: Authorization description: Credencial usada por `docker login` - name: Repositories description: Ciclo de vida, configurações, imagens e tags dos repositórios - name: Policies description: Políticas de recurso e de ciclo de vida - name: Encryption description: Criptografia de camadas em repouso - name: Pull-through cache description: Cache de imagens de outro registry no seu namespace paths: /v1/encryption-configuration: put: tags: - Encryption summary: Definir configuração de criptografia description: >- Escolhe a chave protetora para camadas enviadas após esta chamada. Camadas existentes mantêm sua chave original; destruí-la torna essas camadas ilegíveis. Não há recifragem automática. A chave é validada agora: desabilitada, destruída ou de outra conta retorna `400`. A deduplicação continua usando o hash do conteúdo antes da criptografia. Requer `registry:PutEncryptionConfiguration`. operationId: putEncryptionConfiguration requestBody: required: true content: application/json: schema: $ref: '#/components/schemas/EncryptionConfigurationRequest' responses: '200': description: Configuração armazenada. content: application/json: schema: $ref: '#/components/schemas/EncryptionConfigurationResponse' '400': $ref: '#/components/responses/BadRequest' '401': $ref: '#/components/responses/Unauthorized' '403': $ref: '#/components/responses/Forbidden' '503': description: O Registry desta região não tem integração KMS. content: application/json: schema: $ref: '#/components/schemas/Error' components: schemas: EncryptionConfigurationRequest: type: object properties: encryption_type: type: string enum: - platform_managed - kms description: >- Obrigatório. Inferir pela presença de `kms_key` confundiria restauração da chave da plataforma com omissão acidental. kms_key: type: string description: >- UUID, CRN ou nome da chave KMS. Obrigatório com `kms` e rejeitado com `platform_managed` para evitar configurações contraditórias. required: - encryption_type EncryptionConfigurationResponse: type: object properties: encryption_configuration: $ref: '#/components/schemas/EncryptionConfiguration' required: - encryption_configuration Error: type: object required: - error properties: error: type: object required: - code - message - request_id properties: code: type: string description: Código de erro identificando o tipo de erro example: INVALID_INPUT message: type: string description: Mensagem de erro legível pelo ser humano example: Invalid request parameters params: type: object additionalProperties: true description: >- Valores não sensíveis opcionais para interpolação de erros localizados, codificados por código de erro. Nunca presente para erros de servidor. example: instances: 2 pools: 0 request_id: type: string format: uuid description: Solicitar ID para depuração example: 550e8400-e29b-41d4-a716-446655440000 EncryptionConfiguration: type: object properties: encryption_type: type: string enum: - platform_managed - kms description: >- `platform_managed` protege a chave de dados com uma chave da plataforma. `kms` usa uma chave KMS da conta; desativá-la impede a leitura das camadas que dependem dela. É um tipo nomeado, não um booleano, para permitir outras opções futuras. example: kms kms_key: allOf: - $ref: '#/components/schemas/ResourceRef' description: >- Referência da chave gerenciada pelo cliente. Ausente na criptografia da plataforma. Uma chave excluída mantém ID e CRN, sem nome; camadas existentes continuam dependendo dela. updated_at: type: string format: date-time description: >- Última alteração da configuração. Ausente quando a conta nunca configurou criptografia. required: - encryption_type ResourceRef: type: object required: - id - crn properties: id: type: string format: uuid example: 288aa1e9-bbf5-5584-bce9-6a688f06d8a1 crn: type: string example: crn:catalog::platform:country/288aa1e9-bbf5-5584-bce9-6a688f06d8a1 name: type: string description: >- Rótulo no momento da resposta: o nome do recurso, quando houver, ou seu rótulo legível (número de fatura, nome de exibição da conta). Ausente quando o destino não existe mais. Não é uma chave de consulta. example: Brazil responses: BadRequest: description: Parâmetros de solicitação inválidos content: application/json: schema: $ref: '#/components/schemas/Error' example: error: code: INVALID_INPUT message: Invalid request parameters request_id: 550e8400-e29b-41d4-a716-446655440000 Unauthorized: description: Autenticação necessária ou token inválido content: application/json: schema: $ref: '#/components/schemas/Error' example: error: code: UNAUTHORIZED message: Authentication required request_id: 550e8400-e29b-41d4-a716-446655440000 Forbidden: description: Permissões insuficientes content: application/json: schema: $ref: '#/components/schemas/Error' example: error: code: ACCESS_DENIED message: You don't have permission to perform this action request_id: 550e8400-e29b-41d4-a716-446655440000 securitySchemes: BearerAuth: type: http scheme: bearer bearerFormat: JWT description: >+ Um token bearer OAuth 2.0, enviado como `Authorization: Bearer `. Esta é a forma recomendada de autenticação. Obtenha o token trocando o par de chaves de acesso de uma conta de serviço em `POST /v1/oauth/token` com `grant_type=client_credentials`. Esse é o fluxo padrão de credenciais de cliente; bibliotecas compatíveis com OAuth podem obter e renovar o token para você. ``` curl -s -u "$KEY_ID:$SECRET" -d grant_type=client_credentials \ https://iam.basaltic.sh/v1/oauth/token ``` Os tokens duram uma hora por padrão. O mesmo par de chaves de acesso também serve como credencial AWS SigV4 para o endpoint de objetos compatível com S3, que aceita somente esse método de autenticação. ```` This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.